Initiation à l'application QRadar Advisor with Watson

Pour que les fonctions des produits IBM® QRadar® fonctionnent correctement, consultez le tableau pour améliorer votre déploiement QRadar .

L'application QRadar Advisor with Watson s'appuie sur les données de votre déploiement QRadar . Pour obtenir les meilleures informations d' QRadar Advisor with Watson, vous devriez envisager d'optimiser votre déploiement d' QRadar .

Remarque: l'application QRadar Use Case Manager peut vous aider à optimiser votre système QRadar . Pour plus d'informations, voir QRadar Use Case Manager.

Le tableau suivant contient la liste des éléments que vous devez optimiser pour améliorer la qualité de vos investigations QRadar Advisor with Watson .

Tableau 1. Optimisation du déploiement et du processus QRadar
Problème	Correction
Advisor dépend de la normalisation QRadar.	L'application QRadar Advisor with Watson utilise les propriétés standard et les propriétés personnalisées de QRadar lorsqu'elle explore les données des événements et des flux. Si des données observables importantes se trouvent dans le contenu, vérifiez qu'elles sont extraites dans des propriétés personnalisées, puis mappez ces propriétés dans l'application QRadar Advisor with Watson . Mappage des propriétés personnalisées Propriétés d'événements et de flux personnalisés
Les propriétés personnalisées non ouvrables entraînent des problèmes.	Assurez-vous qu'une propriété personnalisée fonctionne correctement pour tous les types d'événement dans vos sources de journal. Par exemple, si votre propriété personnalisée de hachage de fichier contient des données incorrectes pour certains événements et fonctionne pour d'autres, la qualité de vos résultats d'investigation dans l'application QRadar Advisor with Watson peut en pâtir.
Advisor requiert un mappage personnalisé.	L'application QRadar Advisor with Watson requiert des mappages au-delà des propriétés personnalisées par défaut de l'application. Si vous n'avez utilisé que les mappages par défaut après l'installation, il se peut qu'une partie importante du contexte local soit manquante dans votre analyse QRadar Advisor with Watson . Vous devez augmenter vos mappages QRadar Advisor with Watson . Mappage des propriétés personnalisées
Définir et mettre à jour votre hiérarchie réseau dans votre système QRadar.	L'application QRadar Advisor with Watson doit savoir quelles sont les adresses IP locales et quelles sont les adresses IP qui ne font pas partie de votre réseau local. Si votre réseau a été modifié, vous avez ajouté un sous-réseau par exemple, vérifiez que votre hiérarchie de réseau QRadar est toujours correcte. Hiérarchie du réseau
Définir les poids d'actifs dans le profil d'actif QRadar.	L'application QRadar Advisor with Watson utilise les pondérations d'actif du profil d'actif dans QRadar. Assurez-vous que le poids de l'actif dans le profil d'actif QRadar est exact. Ajout ou édition d'un profil d'actif
L'exactitude des règles CRE affecte Advisor.	Si les règles CRE sont en erreur, la précision MITRE ATT CK de l'application QRadar Advisor with Watson peut en souffrir. En outre, les règles qui déclenchent et créent des infractions peuvent entraîner des problèmes avec l'application QRadar Advisor with Watson . Examinez et ajustez périodiquement les règles. Optimisation QRadar Instructions pour l'optimisation des performances du système
Advisor utilise des blocs fonctionnels de définition d'hôte (BB:HostDefinition).	L'application QRadar Advisor with Watson , les mappages MITRE ATT & CK et les règles CRE dépendent des hôtes qui fournissent des fonctions spécifiques, telles que les serveurs DNS et DHCP, qui sont définis avec précision dans les blocs de construction QRadar . Révision des blocs de construction
Installez et configurez l'applicationUBA pour afficher les informations utilisateur.	Si l'application User Behavior Analytics est installée,QRadar Advisor with Watson utilise des ensembles de référence UBA et des scores de risque UBA . Si l'application QRadar Advisor with Watson et l'application UBA sont installées, vous pouvez lancer une investigation spécifique à l'utilisateur. Analyse du comportement de l'utilisateur pour QRadar
Les avertissements du systèmeQRadar provoquent des problèmes.	Avant d'installer l'application QRadar Advisor with Watson , faites attention aux avertissements du système QRadar et corrigez-les. Ils peuvent empêcher l'application de fonctionner correctement. Notifications systèmeQRadar
Les installations de correctifs QRadar ne doivent pas être combinées avec des installations QRadar Advisor with Watson .	Ne combinez pas les installations de correctifs QRadar Advisor with Watson et les installations QRadar Advisor with Watson en même temps. Cela rend le débogage des problèmes avec QRadar Advisor with Watson plus difficile. Effectuez la mise à jour de correctif QRadar, vérifiez que le nouveau correctif fonctionne correctement et ensuite installez ou mettez à niveau l'application QRadar Advisor with Watson.
Advisor utilise des motifs de fermeture d'infraction QRadar .	Envisagez d'ajouter des raisons de fermeture qui ont un sens pour votre flux de travaux (par exemple, "Escalated to Incident Response" ou "CRE rule tuning needed") et assurez-vous que tous vos utilisateurs et scripts QRadar qui ferment les infractions sélectionnent la raison de fermeture QRadar appropriée lorsqu'ils ferment une infraction. Motif de fermeture d'infraction personnalisée
Advisor dépend des valeurs du jeu de références appropriées des propriétés personnalisées de l'anti-virus.	Le blocage des antivirus et la mise en évidence du graphique d'exécution de l'application QRadar Advisor with Watson dépendent des valeurs d'ensemble de référence appropriées provenant des propriétés personnalisées de l'antivirus. Affichage des hachages de fichier et de logiciel malveillant exécutés et bloqués