Examen des règles et des blocs de construction QRadar

Examinez vos règles en filtrant différentes propriétés pour vous assurer que les règles sont définies et fonctionnent comme prévu, y compris au niveau de la couverture de la source de journal. Identifiez les règles que vous devrez peut-être modifier dans IBM® QRadar® ou examiner plus en détail dans l'application IBM QRadar Use Case Manager.

1. Accédez à la page Explorateur de cas d'utilisation , cliquez sur l'icône de liste et sélectionnez un modèle à utiliser.
2. Filtrer les règles et les blocs de construction par attributs, activité, tests, tactiques et techniques MITRE ATT & CK ou attributs d'extension de contenu.
3. Pour trouver la règle que vous voulez modifier ou rechercher, filtrez sur le nom de la règle, la tactique ou la technique à l'aide d'une expression régulière. Vous pouvez également utiliser le filtre Groupe pour sélectionner le groupe que vous souhaitez rechercher, comme l'authentification ou la conformité.
   Si vous recherchez du texte entre parenthèses, utilisez la barre oblique inverse dans l'expression régulière. Par exemple, Multiple Login Failures from the Same Source \(Windows)\.

   
4. Pour créer des règles, cliquez sur l'icône de signe plus et sélectionnez Evénement ou flux ou Infraction pour ouvrir l'assistant de règle.
   Il peut s'écouler plusieurs minutes avant que la nouvelle règle n'apparaisse dans le rapport. Pour afficher la nouvelle règle immédiatement, cliquez sur l'icône Actualiser dans la barre de menus du rapport.
5. Personnalisez la présentation du rapport pour faciliter l'examen des règles et des blocs de construction.
   
6. Pour examiner une règle ou un bloc de construction particulier, assurez-vous que le tableau du rapport n'est pas groupé. Ensuite, sélectionnez le nom de la règle pour ouvrir la page d'investigation de la règle, qui fournit des détails sur la règle ou le bloc de construction que vous avez sélectionné.
7. Pour examiner plusieurs règles ou blocs de construction simultanément, cliquez sur l'icône du crayon dans le tableau du rapport pour afficher des cases à cocher pour chaque ligne du tableau. Sélectionnez les règles ou les blocs de construction à modifier, puis cliquez sur Ouvrir dans l'assistant de règle.
   Important :

   Dans le groupe de correctifs 2 QRadar 7.4.1 ou ultérieur, vous pouvez modifier la plage de dates de la tendance de la règle sélectionnée dans le graphique Création d'infraction en fonction de la règle en cours dans une certaine période. La plage de dates renvoie par défaut à la plage de dates filtrée (1 mois) lorsque vous fermez et rouvrez la règle.

   Dans QRadar 7.3.3, la plage de dates par défaut est de 3 jours et ne peut pas être modifiée.

8. Pour activer ou désactiver des règles individuelles, assurez-vous que la colonne Règle activée est visible dans le rapport, puis activez ou désactivez la bascule.
   Important: Vous ne pouvez pas désactiver une règle activée si elle comporte des éléments dépendants. Vous ne pouvez pas activer une règle si elle a des dépendances désactivées ou non installées. Une liste des dépendances est disponible pour examen dans les messages d'avertissement.
9. Pour activer ou désactiver des règles en bloc, cliquez sur l'icône en forme de crayon, sélectionnez les règles concernées, puis cliquez sur Activer ou Désactiver dans la barre de menu du rapport.
   Important : si une règle activée comporte des règles dépendantes, celles-ci doivent également être désactivées pour que la règle soit désactivée. Si une règle désactivée a des dépendances, celles-ci doivent également être activées pour que la règle soit activée.
10. Modifiez les mappages MITRE des règles ou des blocs de construction. Pour plus d'informations, voir Modification des mappings MITRE dans une règle ou un bloc de construction.
11. Pour ajouter des attributs de règle personnalisés à la règle ou au bloc de construction sélectionné, procédez comme suit :
    1. Cliquez sur Ouvrir dans l'assistant de création de règles dans la barre de menus du rapport.
    2. Dans le panneau central de l'écran, développez la section Attributs personnalisés .
    3. Si aucun attribut personnalisé n'est actuellement ajouté à la règle, cliquez sur l'icône du signe plus et cochez la case pour chaque attribut et valeur pertinents. Cliquez ensuite sur Sauvegarder et appliquer.
       Astuce: Vous pouvez également définir de nouveaux attributs personnalisés dans cette fenêtre.
    4. Si vous souhaitez ajouter d'autres valeurs aux attributs personnalisés déjà ajoutés à la règle, cliquez sur l'icône du signe plus de l'attribut et sélectionnez les valeurs dans la liste.
       Astuce: Vous pouvez également définir de nouvelles valeurs d'attribut personnalisé dans cette fenêtre.
    5. Fermez l'assistant.
       Conseil : pour gérer entièrement les attributs de règles personnalisées et leurs valeurs, par exemple en les modifiant ou en les supprimant, accédez à Paramètres > Attributs de règles personnalisées.
12. Facultatif : si nécessaire, vous pouvez modifier tout composant de la règle doté d'une icône en forme de crayon, comme les notes ou les ensembles de référence dans la section Définitions des tests.
13. Pour examiner les règles " QRadar User Behavior Analytics, voir Examen des règles d'analyse du comportement des utilisateurs.
14. Visualisez vos règles et vos blocs de construction après avoir organisé les données du rapport.
15. Exportez le rapport au format CSV ou XML pour le partager avec d'autres personnes.
16. Exportez les mappages MITRE en tant que fichier JSON pour les partager avec quelqu'un.