Recherchez Watson pour afficher des informations et trouver des informations collectées sur un seul type d'indicateur.
Avant de commencer
Vous devez disposer des privilèges d'administrateur QRadar® pour effectuer des recherches dans tous les domaines et pour créer d'autres rôles utilisateur et affecter des domaines.
Cliquez sur
Rechercher Watson pour lancer une recherche.
Conseil : L'icône
Recherche Watson se trouve à côté de l'icône
Hub QRadar 
.
Astuce: Dans l'interface utilisateur du thème foncé (2.6.0), le bouton
Rechercher Watson se trouve sur la page
Watson .
A propos de cette tâche
En plus d'exécuter une recherche
rapide d'indicateur unique, vous pouvez lancer une recherche de plusieurs indicateurs en ajoutant
plusieurs indicateurs et en sélectionnant des jeux de références. Pour plus d'informations, voir Recherche de plusieurs types d'indicateur dans Watson.
Procédure
- Cliquez sur Rechercher Watson pour ouvrir le panneau Rechercher Watson .
- Pour lancer une recherche rapide, vous pouvez entrer l'un des types d'indicateur suivants dans la zone Recherche rapide avec indicateur unique :
- URL
- Domaine
- Adresse IP - Les adresses IP comprises dans la plage d'adresses IP privées et les adresses IP Google DNS et openDNS ne sont pas prises en charge.
- Hachage - Les types de hachage pris en charge incluent MD5, SHA1, SHA256 et ssdeep.
Astuce : Pour restreindre votre recherche à un URL, tapez url: et l' URL e que vous souhaitez rechercher comme dans l'exemple suivant : url:ibm.com. Pour limiter votre recherche à un domaine, entrez domain: suivi du domaine pour lequel vous voulez effectuer votre recherche. Par exemple, domain:ibm.com.
Votre recherche renvoie des informations relatives au type d'indicateur.
- Pour poursuivre une recherche approfondie dans votre instance QRadar locale et Watson, cliquez sur Créer une investigation.
- Définissez la date et l'heure de la période de contexte local pour examiner les données observables dans votre QRadar local qui ont été découvertes au cours de la période sélectionnée.
- Sélectionnez un ou plusieurs domaines. Si vous sélectionnez plusieurs domaines, l'examen est limité aux événements qui proviennent des domaines sélectionnés. Chaque domaine que vous sélectionnez crée un examen distinct sur la page Présentation des incidents. Chaque domaine que vous sélectionnez pour examen entre en compte dans votre quota quotidien.
Astuce :Pour utiliser la fonction de recherche à plusieurs titulaires, vous devez créer différents domaines dotés de rôles utilisateur et de titulaires pour remplir ce domaine dans QRadar. Pour plus d'informations, voir Gestion multilocataire.
Après avoir créé des domaines, vous pouvez affecter à d'autres utilisateurs l'accès à QRadar Advisor with Watson dans Rôles utilisateur dans QRadar. Les utilisateurs dotés d'un accès peuvent ensuite effectuer des recherches en se connectant à un autre domaine.
- Cliquez sur Démarrer pour exécuter l'investigation. Celui-ci peut mettre plusieurs
minutes à renvoyer des résultats.
- Cliquez sur l'investigation terminée dans la page Watson pour afficher les résultats de l'analyse.
- Cliquez sur Graphique des relations pour afficher les résultats sur le graphique des relations.
- Si quelque chose a changé, cliquez sur Réexaminer pour lancer un autre examen.
Le réexamen entre en compte dans votre quota quotidien.
