Optimisation de votre système QRadar

Pour obtenir les meilleurs résultats dans QRadar® Advisor with Watson, vous pouvez optimiser IBM® QRadar en examinant la configuration de mappage personnalisée et les sources de journal utilisées par QRadar Advisor with Watson.

Avant de commencer

Vous devez disposer des privilèges d'administrateur QRadar pour optimiser votre système QRadar .

A propos de cette tâche

L'application QRadar Advisor with Watson n'extrait pas les valeurs des contenus d'événement ou de flux ; elle s'appuie plutôt sur les propriétés personnalisées QRadar et les propriétés standard définies. Pour améliorer la qualité de vos résultats, passez en revue les propriétés personnalisées et les sources de journal utilisées par QRadar Advisor with Watson.

Procédure

Dans le menu de navigation ( ), cliquez sur Admin.
Dans la section Applications, sous QRadar Advisor with Watson, cliquez sur Configuration.
Cliquez sur Paramètres facultatifs pour ouvrir la page de menu Paramètres facultatifs .
Cliquez sur Optimisation.
Cliquez sur Exécuter le rapport.
Par défaut, la somme des événements qui possèdent des propriétés mappées et qui se trouvent également dans des infractions est activée. Cliquez sur Dans les infractions pour désactiver le commutateur et afficher tous les événements qui possèdent des propriétés mappées, mais qui ne correspondent pas nécessairement à des infractions.
Consultez les sources de journal et vérifiez que toutes celles attendues sont présentes. Si une source de journal n'est pas répertoriée ou ne comporte pas un nombre important d'événements utilisés par QRadar Advisor with Watson, elle indique que d'autres mappages sont requis.
Dans la section Mappage des propriétés, consultez les propriétés personnalisées ajoutées ou modifiées depuis la dernière exécution de l'assistant de configuration.
Si certaines propriétés ne sont pas encore mappées, elles sont répertoriées.
Cliquez sur l'icône en regard de la propriété que vous souhaitez mapper pour l'application à utiliser.
Sélectionnez un nom canonique dans la liste, puis cliquez sur Ajouter.
Cliquez sur Terminer.