Optimisation des règles actives qui génèrent des violations

L'optimisation des règles les plus complexes peut avoir des conséquences importantes sur la réduction du nombre de faux positifs. Pour enquêter sur les infractionsIBM® QRadar®, vous devez afficher les règles qui ont créé l'infraction.

1. Dans le menu principal de QRadar Use Case Manager , cliquez sur Règles actives.
2. Appliquez des filtres aux règles actives pour affiner votre examen.
   1. Filtrez les règles qui ont commencé à contribuer aux infractions en fonction du calendrier ou par période. La date par défaut est au cours des trois derniers jours. Modifiez le délai ou choisissez de filtrer les règles qui ont commencé à contribuer aux infractions entre des dates et des heures spécifiques.
   2. Sélectionnez des paramètres pour exclure des infractions des résultats, telles que les infractions masquées ou fermées. Les infractions signalées pour le suivi sont balisées pour un examen plus approfondi. Vous pouvez avoir des infractions que vous souhaitez conserver quelle que soit la durée de conservation ; ces infractions sont protégées afin de les empêcher d'être supprimées de QRadar une fois la durée de conservation écoulée. Les infractions inactives peuvent être supprimées de la visualisation afin que les rapports ne soient pas encombrés.
   3. Sélectionnez la cause de fermeture d'une infraction. Par exemple, vous pouvez appliquer un filtre pour voir quelles règles ont généré les infractions qui ont été fermées en tant que faux positifs. Les règles avec de nombreux faux positifs ont probablement besoin d'être ajustées. Les violations qui sont classées sans suite sont généralement considérées comme non critiques pour votre entreprise.
   4. Cliquez sur Appliquer les filtres.
3. Consultez les graphiques Infractions par règle, Infractions par catégorie et règle, Infractions fermées par raison et règle, Tendance du nombre d'événements par règleet Tendance de la création d'infractions par règle .
   Astuce: Le graphique Offense creation trend by rule est pris en charge sur QRadar 7.4.1 Fix Pack 2 ou ultérieur.
   1. Survolez les segments de graphique pour afficher plus de détails sur une infraction.
   2. Masquez ou affichez les légendes du graphique.
   3. Cliquez sur les touches de légende pour affiner l'affichage du graphique.
   4. Faites un zoom avant avant de poursuivre l'examen.
   5. Affichez les diagrammes à barres et temporels en plein écran.
   6. Exportez les diagrammes à barres et temporels au format CSV, PNG ou JPG.
   7. Affichez les données des diagrammes à barres et temporels dans un tableau. Ensuite, exportez les données au format CSV pour les afficher hors ligne ou les partager avec des collègues.
4. Dans le tableau, affinez les règles en choisissant parmi les méthodes suivantes :
   1. Basculez entre les règles les plus bruyantes ou toutes les règles de la liste.
   2. Ajoutez d'autres règles à examiner en sélectionnant un groupe de règles ou une règle individuelle dans la liste.
      Astuce: La colonne Nombre d'événements du rapport indique le nombre d'événements que la règle associée aux infractions a comptés dans la colonne Nombre d'infractions . La colonne Nombre d'événements est prise en charge sur QRadar 7.4.1 Fix Pack 2 ou ultérieur.
5. Cliquez sur Examiner.
   1. Regardez une courte vidéo pour apprendre à utiliser l'assistant de règles.
   2. Passez en revue chaque règle individuelle et les blocs de construction qui contribuent à la règle active. Pour chaque règle, vous pouvez poursuivre l'examen en cliquant sur Afficher l'arborescence des dépendances ou sur Editer dans l'assistant de règle.
   3. Utilisez le diagramme de visualisation pour affiner les options liées à la règle ou au bloc de construction, telles que les types de sources de journaux, les propriétés personnalisées ou les jeux de référence.
   4. Vérifiez les infractions générées par chaque règle active.
   5. Vérifiez les valeurs des différents groupes de tests et ajustez-les si nécessaire.
   6. Vérifiez les mappages MITRE ATT&CK de la règle et modifiez-les si nécessaire.
   7. Pour ajouter des attributs de règle personnalisés à la règle ou au bloc de construction sélectionné, voir l'étape 10 dans Recherche de règles et de blocs de construction QRadar.
   8. Pour examiner les règles QRadar User Behavior Analytics , voir Examen des règles d'analyse du comportement des utilisateurs.
   9. Pour revenir à la page Règles actives , cliquez sur Règles actives dans les éléments de navigation.
6. Pour exporter les données de règle sélectionnées dans le rapport au format CSV afin de pouvoir les traiter ou les afficher dans Excel, cochez les cases correspondantes, puis cliquez sur Exporter.