FAQ sur l 'assistant d'enquête

Editer en ligne

Ces questions et réponses fréquemment posées vous aideront à comprendre l' assistant d'enquête QRadar.

Quels sont les facteurs qui influencent le coût de l'abonnement à watsonx?

Le coût pour un client de base dépend principalement du nombre de jetons d'entrée et de sortie utilisés lors des interactions avec l' assistant d'enquête. Toutefois, le coût dépend également de la nécessité pour les clients de disposer de certaines des fonctions avancées de watsonx.ai. Il est conseillé aux clients et partenaires de consulter les barèmes tarifaires d' watsonx.ai, disponibles à l'adresse watsonx.ai pricing, afin de comprendre les implications financières, ou de contacter leur représentant IBM.

L'analyse des coûts suivante, relative à l'abonnement à IBM watsonx.ai, est basée sur le nombre de résumés d'infractions, de requêtes AQL et d'explications AQL générés.
Tableau 1. Analyse des coûts pour l' watsonx.ai
watsonx abonnement Cas d'utilisation Modèle d'IA Cas d'utilisation Utilisation quotidienne (cas d'utilisation) Consommation mensuelle (jours de Tokens/30 ) Coût total (arrondi) / mois
Essentiels Résumé de l'attaque llama-3-3-70b-instruct 1 résumé d'infraction = 2.5k jetons 150 infractions 4.5k Infractions = Jetons « 11.25M » $7.98
Questions et réponses llama-3-3-70b-instruct 1 question-réponse = 500 jetons 450 questions 13.5k Questions = jetons d' 6.75M $4.79
Génération AQL llama-4-maverick-17b-128e-instruct-fp8 1 génération AQL = 35k jetons 60 générations AQL 1.8k Générations AQL = jetons « 63M » $88.2
llama-3-3-70b-instruct 1 génération AQL = 25k jetons 60 générations AQL 1.8k Générations AQL = jetons « 45M » $31.95
Explication de l'AQL llama-3-3-70b-instruct 1 Explication de l'AQL = Jetons « 4k » Explications sur l'AQL de 50 1 500 explications de requêtes AQL = 6M jetons $4.26
Les prix indiqués sont donnés à titre indicatif, peuvent varier d'un pays à l'autre, s'entendent hors taxes et droits applicables, et sont soumis à la disponibilité des produits dans la région concernée.

Quels en sont les avantages pour les MSSP?

Les principales fonctionnalités de l'application sont accessibles aux fournisseurs de services de sécurité gérés (MSSP). Grâce à la prise en charge du résumé des offensives, les MSSP peuvent connaître les vecteurs d'attaque, qui peuvent avoir un impact sur l'IP source ou l'IP de destination, les noms d'hôte et les utilisateurs. Les MSSP peuvent utiliser les étapes recommandées pour approfondir l'enquête et atténuer les risques.

Le déploiement sur site de watsonx est-il pris en charge?

L'application Investigation Assistant ne prend officiellement en charge que l'abonnement watsonx SaaS.

Des modules ou des licences supplémentaires sont-ils nécessaires dans le cadre de QRadar SIEM?

L' assistant d'investigation ne nécessite aucun module ou licence supplémentaire au sein de QRadar SIEM pour une fonctionnalité complète. Oui, l' assistant d'enquête prend en charge la dernière version de QRadar Community Edition.

Offre-t-il des informations sur la sécurité au-delà de QRadar ?

La première version de l'application Investigation Assistant ne prend officiellement en charge que le résumé d'infraction en tant que premier cas d'utilisation. À ce jour, l'application répond à certaines des questions relatives à la cybersécurité en général et associées à QRadar.

Comment les données sont-elles cryptées et transmises en toute sécurité lors de l'utilisation de l'application?

Investigation Assistant utilise le protocole de cryptage Transport Layer Security ( TLS ) pour assurer la transmission sécurisée des données.

Quelle est la différence avec QRadar Watson Advisor (QRAW)?

L' assistant d'investigation utilise de grands modèles de langage (LLM) pour générer des réponses à des invites humaines saisies en langage naturel. QRAW n'a pas de capacités de chatbot ou d'IA générative... L'expérience de l'utilisateur est conversationnelle et donc différente de celle de QRAW.

Quelles informations supplémentaires l'application fournit-elle s'il s'avère qu'un artefact est malveillant?

Si un artefact est identifié comme malveillant, l'application fournit des informations précieuses pour aider les analystes de sécurité à enquêter sur les menaces potentielles. Les utilisateurs peuvent poser des questions complémentaires pour obtenir plus de contexte et de détails, ce qui leur permet de comprendre les implications de l'artefact malveillant et de prendre des mesures en connaissance de cause.

L' assistant d'investigation respecte-t-il les lois sur la résidence des données lorsque vous transmettez des données sur les offenses à un LLM via Internet?

L' assistant d'investigation est conçu de manière à ce que les données résident uniquement sur QRadar dans les locaux d'un client et n'aient pas besoin d'être dupliquées sur IBM. L'API QRadar offense fournit des informations spécifiques sur les infractions à watsonx.ai par l'intermédiaire de l'API pour la fonction de récapitulation des infractions. Pour plus d'informations, consultez la section « Sécurisation et conformité de vos données ».

Quelles sont les données relatives aux infractions qui sont envoyées à watsonx.ai?

watsonx reçoit les données relatives aux incidents provenant du point de terminaison QRadarOffenseAPI : GET /siem/offenses/ {offense_id}.This comprend des informations récapitulatives sur les incidents, telles que l'ID, la description, l'ampleur, les adresses IP source et destination, ainsi que des informations sur les règles.

Les données sont-elles transmises à watsonx.ai automatiquement ou seulement à l'initiative de l'utilisateur?

Les données ne sont transmises qu'à l'initiative de l'utilisateur. Par exemple, des données sont transmises lorsqu'un utilisateur clique sur le résumé watsonx dans la fenêtre Offense ou interagit avec le chatbot piloté par l'IA. Aucune donnée n'est envoyée automatiquement ou en arrière-plan sans action de l'utilisateur.

Les données sont-elles utilisées pour former des modèles watsonx?

Non, watsonx n'utilise pas les données des clients pour la formation des modèles de base. Cela garantit que les informations sensibles ou propriétaires restent privées et ne sont pas utilisées pour améliorer ou réapprendre les modèles d'IA sous-jacents. Pour plus d'informations, consultez la documentation d' IBM consacrée à la sécurité et à la confidentialité des modèles de base.

La fonctionnalité de génération d'AQL tiendra-t-elle compte des données de mon environnement pour générer des requêtes AQL adaptées au contexte?

Le modèle d'IA prend en compte les propriétés d'événement personnalisées (CEP) de votre environnement, ainsi que les catégories d'événements de haut niveau et de bas niveau, pour générer des requêtes AQL adaptées au contexte.

Si l'AQL généré doit être modifié, est-ce possible?

Oui, un analyste en sécurité peut souhaiter modifier la requête AQL générée précédemment afin de changer l'objectif de la recherche ou de l'enquête, ou encore de modifier la valeur d'un paramètre spécifique. Ils pourraient y parvenir à l'aide de consignes en langage naturel après avoir reçu la requête AQL générée par l'IA.