Optimisation des règles actives qui génèrent des évènements CRE

Le rapport sur les événements du moteur de règles personnalisées (CRE) montre quelles règles actives génèrent des événements CRE. Dans la plupart des cas, une réponse à la règle est configurée pour générer des événements CRE, avec ou sans l'infraction. Le rapport indique quels sont les événements CRE les plus générés par une règle. En général, si l'événement est généré plusieurs fois par jour, la règle se déclenche trop souvent. Pensez à optimiser la règle. Par exemple, une ou deux adresses IP source du rapport sont liées à tous les événements CRE générés par la règle. Il peut être nécessaire d'ajouter l'adresse IP source à un des blocs de construction de définition d'hôte référencés par la règle. Sélectionnez la règle et cliquez sur Examiner pour afficher la définition d'hôte à mettre à jour.

A propos de cette tâche

Vous pouvez également utiliser ce rapport pour tester les règles. Dans ce cas, la réponse à la règle n'inclut pas la création de l'infraction, uniquement la distribution de l'événement CRE. Si le rapport indique que la règle se déclenche trop souvent, pensez à l'optimiser. Si vous utilisez les événements CRE pour tester la règle et que le nombre d'événements CRE générés n'est que de quelques uns par semaine, modifiez la réponse de la règle pour générer une infraction.

Les balises de filtre non appliquées apparaissent dans la ligne des filtres avec un arrière-plan plus clair. Une fois que vous avez appliqué les filtres, les balises sont dotées d'un arrière-plan plus foncé.

1. Dans le menu principal, cliquez sur Rapport CRE.
2. Filtrez les règles en fonction du calendrier ou par période de temps. La date par défaut est au cours des trois derniers jours. Modifiez le délai ou choisissez de filtrer les règles qui ont commencé à contribuer aux infractions entre des dates et des heures spécifiques.
3. Sélectionnez le nombre de résultats à renvoyer et cliquez sur Appliquer les filtres.
4. Examinez les rapports Evénements CRE par règle et Evénements CRE par catégorie et règle .
   1. Survolez les segments de graphique pour afficher plus de détails sur une infraction.
   2. Masquez ou affichez les légendes du graphique.
   3. Cliquez sur les clés de légende dans le rapport Evénements CRE par règle pour optimiser l'affichage du graphique.
   4. Faites un zoom avant avant de poursuivre l'examen.
   5. Développez le graphique Evénements CRE par catégorie et règle en plein écran.
   6. Exportez les événements CRE par catégorie et tableau de règles aux formats CSV, PNG ou JPG.
   7. Affichez les données du graphique Evénements CRE par catégorie et règle sous forme de tableau. Ensuite, exportez les données au format CSV pour les afficher hors ligne ou les partager avec des collègues.
5. Affinez les règles en choisissant l'une des méthodes suivantes :
   1. Basculez entre les règles les plus bruyantes ou toutes les règles de la liste.
   2. Ajoutez une autre règle à étudier en sélectionnant un groupe de règles ou une règle individuelle dans la liste.
6. Cliquez sur Examiner.
   1. Examinez chaque règle individuelle et les blocs de constructions qui contribuent à l'événement CRE. Pour chaque règle, vous pouvez poursuivre l'examen en cliquant sur Afficher l'arborescence des dépendances ou sur Editer dans l'assistant de règle.
   2. Utilisez le diagramme de visualisation pour affiner les options liées à la règle ou au bloc de construction, telles que les types de sources de journaux, les propriétés personnalisées ou les jeux de référence.
   3. Examinez les événements générés par la règle en cours sélectionnée.
   4. Pour actualiser instantanément les règles à partir de QRadar®, cliquez sur l'icône Actualiser . Sinon, l'application met automatiquement à jour les données de la console toutes les 15 minutes.
   5. Vérifiez les valeurs seuils des tests et ajustez-les si nécessaire.
   6. Vérifiez les valeurs des différents groupes de tests et ajustez-les si nécessaire.
   7. Vérifiez les mappages MITRE ATT&CK de la règle et modifiez-les si nécessaire.
   8. Pour ajouter des attributs de règle personnalisés à la règle ou au bloc de construction sélectionné, voir l'étape 9 dans Recherche de règles et de blocs de construction QRadar.
   9. Pour examiner les règles QRadar User Behavior Analytics , voir Examen des règles d'analyse du comportement des utilisateurs.
   10. Pour revenir à la page Evénements CRE , cliquez sur Rapport CRE dans les éléments de navigation.
7. Pour exporter les données de règle sélectionnées dans le rapport au format CSV afin de les traiter ou de les afficher dans Excel, cochez les cases correspondantes, puis cliquez sur Exporter.