Problèmes connus

QRadar Use Case Manager 4.0.0.

L'application peut échouer lorsque vous essayez d'ajouter ou de modifier des mappings MITRE dans une règle si vous ne définissez pas de préférence utilisateur pour le domaine du cadre MITRE ATT&CK.

Si vous avez plus de 20k infractions, il se peut que vous rencontriez des problèmes lors du chargement de la page des détails de la règle, certaines sections de la page continuant à se charger mais ne se terminant pas. L'application finit par planter et afficher une erreur.

La solution consiste à désactiver les paramètres de contribution de l'infraction dans la section Configuration des performances de la page de configuration.

Lorsque vous exportez plusieurs règles ou des règles uniques dans un fichier zip, l'exportation est bloquée et ne reste jamais à l'état'traitement'.

Dans la version 3.1.0, les intégrations personnalisées peuvent arrêter de fonctionner, ce qui entraîne l'impossibilité de se connecter aux API QRadar Use Case Manager à partir de l'extérieur de votre environnement QRadar. La solution palliative dans QRadar Use Case Manager 3.1.0 ou ultérieure consiste à authentifier les appels d'API à l'aide du même jeton utilisé sur la page Configuration (ajoutez un en-tête SEC dans l'appel d'API). Si vous effectuez une mise à niveau vers la version 3.2.0 ou ultérieure et utilisez le jeton que vous avez utilisé pour configurer QRadar Use Case Manager, les intégrations personnalisées fonctionnent.

Les éléments référencés couramment, tels que les sources de journal, les propriétés personnalisées ou les ensembles de références, peuvent apparaître avec les anciens noms dans QRadar Use Case Manager et la section des détails de règle dans QRadar. QRadar Use Case Manager extrait les noms d'éléments référencés par des tests de règle à partir du texte dans le code XML de la règle. Lorsqu'un élément référencé change son nom, le texte du code XML de la règle n'est pas mis à jour.

Si une règle ou un bloc de construction référencé dans une définition de test est mis à jour manuellement dans la base de données, la définition de test peut également apparaître avec un ancien nom.

Comme solution de contournement, vous pouvez éditer la règle dans l'assistant de règle dans QRadar Use Case Manager et l'enregistrer (cliquez sur Terminer sans modifier quoi que ce soit) pour résoudre la non-concordance de texte.

QRadar Use Case Manager met à jour les noms de type de source de journal dans la règle dans les 15 minutes de la mise à jour, ou lorsque vous actualisez explicitement la règle.

L'application ne peut pas rechercher la barre oblique (/) dans les expressions régulières. Par exemple, sur la page Utiliser l'explorateur de cas du nom de règle ou de la définition de test dans les filtres, et dans le nom de la règle dans la barre de recherche de la table. Comme solution, utilisez un point d'interrogation (?) comme caractère générique.

Une règle endommagée dans QRadar empêche l'API QRadar de renvoyer les données requises. Cela empêche l'application QRadar Use Case Manager d'utiliser des fonctions liées aux règles.