Barre d'outils de l'onglet Activité du journal

Vous pouvez accéder à plusieurs onglets à partir de la barre d'outils Activité du journal

A l'aide de la barre d'outils, vous pouvez accéder aux options suivantes :

Tableau 1. Options de la barre d'outils Activité du journal
Option	Descriptif
Rechercher	Cliquez sur Rechercher pour effectuer des recherches avancées sur les événements. Options disponibles : Nouvelle recherche - Sélectionnez cette option pour créer une nouvelle recherche d'événement. Editer la recherche - Sélectionnez cette option pour sélectionner et modifier une recherche d'événement. Gérer les résultats de la recherche - Sélectionnez cette option pour afficher et gérer les résultats de la recherche.
Recherches rapides	Dans cette zone de liste, vous pouvez exécuter des recherches précédemment sauvegardées. Les options ne sont affichées dans la zone de liste Recherches rapides que lorsque vous avez sauvegardé un critère de recherche qui indique l'option Inclure dans mes recherches rapides.
Ajouter le filtre	Cliquez sur Ajouter un filtre pour ajouter un filtre aux résultats de recherche actuelle.
sauvegarder les critères	Cliquez sur Sauvegarder les critères pour sauvegarder les critères de la recherche actuelle.
Sauvegarder les résultats	Cliquez sur Sauvegarder les résultats pour sauvegarder les résultats de la recherche actuelle. Cette option ne s'affiche qu'après qu'une recherche soit terminée. Cette option est désactivée en mode de diffusion en flux.
Annuler	Cliquez sur Annuler pour annuler une recherche en cours. Cette option est désactivée en mode de diffusion en flux.
Faux positif	Cliquez sur Faux positif pour ouvrir la fenêtre Ajustement des faux positifs, qui vous permet de désactiver les flux connus en tant que faux positifs pour les empêcher de créer des infractions. Cette option est désactivée en mode de diffusion en flux. Pour plus d'informations sur l'optimisation des faux positifs, voir Optimisation des faux positifs.
règles	L'option Règles n'est disponible que si vous disposez de l'autorisation d'afficher les règles. Cliquez sur Règles pour configurer les règles d'événements personnalisés. Options disponibles : Règles - Sélectionnez cette option pour afficher ou créer une règle. Si vous ne disposez que de l'autorisation d'afficher les règles, la page de synthèse de l'assistant Règles s'affiche. Si vous avez l'autorisation de maintenir des règles personnalisées, l'assistant Règles s'affiche et vous pouvez modifier la règle. Afin d'activer les options de la règle de détection des anomalies (Ajouter une règle de seuil, Ajouter une règle de comportement et Ajouter une règle d'anomalie), vous devez sauvegarder le critère de recherche agrégé parce que le critère de recherche sauvegardé indique les paramètres requis. Remarque: Les options de règle de détection des anomalies ne sont visibles que si vous disposez du droit Activité du journal > Gérer les règles personnalisées . Ajouter une règle de seuil - Sélectionnez cette option pour créer une règle de seuil. Une règle de seuil teste le trafic d'événement de l'activité qui dépasse un seuil configuré. Les seuils peuvent être basés sur toutes les données collectées QRadar. Par exemple, si vous créez une règle de seuil indiquant que le nombre de clients pouvant se connecter au serveur ne doit pas dépasser 220 clients entre 08 h 00 et 17 h 00, les règles génèrent une alerte lorsque le 221e client tente de se connecter. Lorsque vous sélectionnez l'option Ajouter une règle de seuil, l'assistant Règles s'affiche, prérempli avec les options appropriées pour la création d'une règle de seuil.
Règles (suite)	Ajouter une règle de comportement - Sélectionnez cette option pour créer une règle comportementale. Une règle comportementale teste le trafic d'événement pour une activité anormale, telle que l'existence d'un trafic nouveau ou inconnu, qui correspond à un trafic qui cesse soudainement ou un changement de pourcentage de la durée où un objet est actif. Par exemple, vous pouvez créer une règle comportementale pour comparer le volume moyen du trafic pour les 5 dernières minutes par rapport au volume moyen du trafic au cours de la dernière heure. S'il existe un changement de plus de 40 %, la règle génère une réponse. Lorsque vous sélectionnez l'option Ajouter une règle de comportement, l'assistant Règles s'affiche, prérempli avec les options appropriées pour la création d'une règle comportementale. Ajouter une règle d'anomalie - Sélectionnez cette option pour créer une règle d'anomalie. Une règle d'anomalie teste le trafic d'événement pour une activité anormale, telle que l'existence d'un trafic nouveau ou inconnu, qui correspond à un trafic qui cesse soudainement ou un changement de pourcentage de la durée où un objet est actif. Par exemple, si une zone de votre réseau qui ne communique jamais avec l'Asie commence à communiquer avec des hôtes dans ce pays, une règle d'anomalie génère une alerte. Lorsque vous sélectionnez l'option Ajouter une règle d'anomalie, l'assistant Règles s'affiche, prérempli avec les options appropriées pour la création d'une règle d'anomalie.
Actions	Cliquez sur Actions pour effectuer les actions suivantes : Afficher tout - Sélectionnez cette option pour supprimer tous les filtres sur les critères de recherche et afficher tous les événements non filtrés. Imprimer - Sélectionnez cette option pour imprimer les événements affichés sur la page. Exporter vers XML > Colonnes visibles -Sélectionnez cette option pour exporter uniquement les colonnes qui sont visibles dans l'onglet Activité du journal. Il s'agit de l'option recommandée. Voir Exportation des événements. Exporter vers XML > Exportation complète (toutes les colonnes) - Sélectionnez cette option pour exporter tous les paramètres d'événement. Une exportation complète peut prendre un certain temps. Voir Exportation d'événements. Exporter au format CSV >Colonnes visibles - Sélectionnez cette option pour exporter uniquement les colonnes qui sont visibles dans l'onglet Activité du journal. Il s'agit de l'option recommandée. Voir Exportation d'événements. Exporter vers CSV > Exportation complète (toutes les colonnes) - Sélectionnez cette option pour exporter tous les paramètres de l'événement. Une exportation complète peut prendre un certain temps. Voir Exportation d'événements. Supprimer - Sélectionnez cette option pour supprimer un résultat de recherche. Voir Gestion des résultats de la recherche d'événements et de flux . Envoyer une notification - Sélectionnez cette option pour indiquer que vous souhaitez recevoir une notification par e-mail à la fin des recherches sélectionnées. Cette option n'est activée que pour les recherches en cours. Remarque : les options Imprimer, Exporter vers XML et Exporter vers l' CSV sont désactivées en mode streaming et lors de l'affichage de résultats de recherche partiels.
Barre d'outils de recherche	Recherche avancée Sélectionnez Recherche avancée dans la zone de liste pour entrer une chaîne de recherche AQL ( Ariel Query Language) afin de spécifier les zones à renvoyer. Filtre rapide Sélectionnez Filtrage rapide dans la zone de liste pour rechercher des contenus à l'aide de mots ou de phrases simples.
Afficher	La vue par défaut sous l'onglet Activité du journal est un flux des événements en temps réel. La liste Vue contient des options qui permettent d'afficher également des événements au cours de plages de temps spécifiques. Après avoir choisi une plage de temps spécifique dans la liste Vue, vous pouvez modifier la plage de temps affichée en changeant les valeurs de date et d'heure dans les zones Heure de début et Heure de fin.