Simulations de menace
Alors que vous pouvez disposer de systèmes vous permettant de collecter et de stocker des données provenant de plusieurs sources de votre réseau professionnel, il est quasiment impossible d'examiner les points de données pour identifier et résoudre les menaces masquées.
En éliminant le bruit et en réduisant des millions d'enregistrements d'événements dans une liste d'infractions gérable et hiérarchisée, IBM® QRadar® peut aider vos analystes de sécurité à déterminer exactement sur quoi se concentrer.
Pour montrer comment QRadar peut vous aider à protéger votre réseau, l'application IBM QRadar Experience Center inclut des simulations de menaces qui sont couramment utilisées dans les réseaux d'entreprise.
Mode de fonctionnement des simulations
Une règle est un ensemble de tests exécutés pour un événement entrant. La règle déclenche une action lorsque des conditions spécifiques sont détectées.
Le composant CRE (Custom Rules Engine) d' QRadar est responsable du traitement des événements entrants. Il compare également les événements par rapport aux blocs de construction et aux règles définis et effectue le suivi des tests de règle et du nombre d'incidents.
Chaque simulation envoie une série d'événements à QRadar qui sont conçus pour imiter le cas d'utilisation représenté tel qu'il peut apparaître s'il s'est produit dans votre propre réseau. Le composant CRE traite ces événements et pour chaque règle déclenchée, il effectue les actions définies dans la réponse à la règle. Certaines actions communes de réponse à la règle incluent la création d'événements et d'infractions ainsi que l'ajout de propriétés d'événements à des ensembles de référence.
Les événements s'exécutent dans une boucle et le même cas d'utilisation se répète plusieurs fois. Pour arrêter la simulation, cliquez sur Arrêter dans l'onglet Simulateur de menaces .
Utilisation d'un environnement de test pour exécuter des simulations
Si vous exécutez les simulations dans un environnement de production QRadar , les simulations qui envoient des événements à QRadar ne peuvent pas être supprimées. Ces événements déclenchent des règles et génèrent des infractions. Ils sont pris en compte dans le nombre de vos éléments EPS sous licence.
Vous pouvez exécuter la recherche sauvegardée EC: Experience Center Events pour afficher tous les événements qui ont été envoyés à QRadar par des exécutions précédentes d'une simulation IBM QRadar Experience Center .