Recherche planifiée

Cette option vous permet de planifier une recherche et d'afficher les résultats.

Vous pouvez planifier une recherche qui s'exécute à un moment précis du jour ou de la nuit. Si vous planifiez une recherche qui doit s'exécuter dans la nuit, vous pouvez l'étudier le matin. Contrairement aux rapports, vous avez la possibilité de regrouper les résultats de recherche et d'effectuer des investigations supplémentaires. Vous pouvez effectuer des recherches sur le nombre d'échecs de connexion dans votre groupe réseau. Si le résultat est généralement 10 et que le résultat de la recherche est 100, vous pouvez regrouper les résultats de la recherche pour simplifier les investigations. Pour voir quel est l'utilisateur qui à le plus d'échecs de connexion, vous pouvez regrouper par nom d'utilisateur. Vous pouvez ensuite approfondir la recherche.

Vous pouvez planifier une recherche sur des événements ou des flux à partir de l'onglet Rapports . Vous devez sélectionner un ensemble de critères de recherche précédemment sauvegardés.

  1. Création d'un rapport

    Indiquez les informations suivantes dans la fenêtre Assistant Création de rapports :

    • Le type de diagramme est Evénements/journaux ou Flux.
    • Le rapport est basé sur une recherche sauvegardée.
      Remarque: QRadar ne prend pas en charge les rapports basés sur des recherches AQL qui contiennent des instructions de sous-requête.
    • Génération d'une infraction.

      Vous pouvez choisir l'option permettant de créer une infraction ou d'ajouter un résultat à une infraction existante.

      Vous pouvez également générer une recherche manuelle.

  2. Affichage des résultats de la recherche
Vous pouvez afficher les résultats de votre recherche planifiée depuis l'onglet Infractions.
  • Les infractions de recherche planifiée sont identifiées par la colonne Type d'infraction.

    Si vous créez une infraction, elle est générée à chaque exécution du rapport. Si vous ajoutez le résultat de la recherche sauvegardée à une infraction existante, une infraction est créée à la première exécution du rapport. Les exécutions de rapports suivantes s'ajoutent à cette infraction. Si aucun résultat n'est renvoyé, le système n'ajoute ni ne crée aucune infraction.

  • Pour afficher les résultats de la recherche la plus récente dans la fenêtre Récapitulatif des infractions, cliquez deux fois sur une infraction de recherche planifiée dans la liste des infractions. Pour afficher la liste de toutes les exécutions de recherche planifiées, cliquez sur Résultats de la recherche dans le panneau 5 derniers résultats de recherche.

Vous pouvez affecter une infraction de recherche planifiée à un utilisateur.