Vous pouvez utiliser la fonction Ajustement des faux positifs pour éviter
que les événements faux positifs ne créent des infractions.
Avant de commencer
Vous pouvez régler les événements faux positifs à partir de la page event
list ou event details.
A propos de cette tâche
Vous pouvez régler les événements faux positifs à partir de la page event
list ou event details.
Vous devez disposer des droits appropriés pour créer des
règles personnalisées afin de régler les faux positifs.
Pour plus d'informations sur les rôles, voir IBM
QRadar -Guide d'administration.
Procédure
- Cliquez sur l'onglet Activité du journal .
- Facultatif. Si vous affichez des événements en mode de diffusion en flux, cliquez sur l'icône Pause pour mettre en pause ce mode.
- Sélectionnez l'événement que vous souhaitez régler.
- Cliquez sur False Positive.
- Dans le panneau Propriété d'événement/de flux de la fenêtre Faux positif , sélectionnez l'une des options suivantes:
- Evénement(s)/flux avec le QID spécifique <Event>
- Tout événement/flux avec la catégorie de bas niveau <Event>
- Tout événement/flux avec la catégorie de haut niveau <Event>
- Dans le panneau Direction du trafic, sélectionnez l'une des options
suivantes :
- De <Source IP Address> vers <Destination IP Address>
- <Source IP Address> vers n'importe quelle destination
- De n'importe quelle source vers <Destination IP Address>
- De n'importe quelle source vers n'importe quelle destination
- Cliquez sur Optimiser.