Vous créez un profil de corrélation d'historique
pour exécuter de nouveau des événements et des flux passés à travers
le moteur de règles
personnalisées (CRE). Le profil comporte des informations sur
l'ensemble de données et les règles à utiliser pendant l'exécution.
Restriction: Vous pouvez créer des profils d'historique uniquement dans IBM
QRadar SIEM. Vous ne pouvez pas créer de profils d'historique dans IBM
QRadar Log Manager.
Avant de commencer
Les règles communes testent les données à la fois dans les
événements et dans les flux. Vous devez avoir le droit d'afficher à
la fois les événements et les flux avant de pouvoir ajouter des
règles communes au profil. Lorsqu'un profil est édité par un
utilisateur qui n'a pas le droit d'afficher les événements et les
flux, les règles communes sont automatiquement retirées du profil.
A propos de cette tâche
Vous pouvez configurer un profil pour effectuer
une corrélation par heure de début ou heure de l'unité. L'Heure de
début est l'heure à laquelle les événements parviennent
au niveau du collecteur d'événements. L'Heure d'unité est l'heure à laquelle l'événement s'est produit sur l'unité. Les événements peuvent être corrélés par heure de début ou heure d'unité. Les flux peuvent être corrélés par date et heure de début uniquement.
Vous pouvez inclure des règles désactivées dans le profil. Les
règles qui son désactivées sont indiquées dans les listes de
règles par la mention (désactivé) en regard u
nom de règle.
Une exécution de corrélation d'historique ne participe pas à une
infraction en temps réel, et ne contribue pas à une infraction qui a
été créée à partir d'une précédente exécution de corrélation
d'historique, même si le même profil est utilisé.
Attention: Si vous créez trop de profils de corrélation d'historique auxquels sont affectées de nombreuses règles, le chargement de vos infractions peut être lent. Si le chargement de vos infractions est lent, vous pouvez supprimer les profils inutiles ou les modifier pour avoir moins de règles.
Procédure
- Ouvrez la boîte de dialogue Corrélation d'historique.
- Dans l'onglet Activité du journal , cliquez sur .
- Dans l'onglet Activité réseau , cliquez sur .
- Dans l'onglet Infractions , cliquez sur .
- Cliquez sur Ajouter et sélectionnez Profil d'événement ou Profil de flux.
- Entrez un nom pour le profil et sélectionnez une recherche
sauvegardée.
Vous pouvez utiliser uniquement des recherches sauvegardées non
regroupées.
- Dans l'onglet Règles , sélectionnez les règles à exécuter sur les données d'historique et choisissez l'heure de corrélation.
Si vous sélectionnez l'option Utiliser toutes les règles activées, vous ne pouvez pas inclure des règles
désactivées dans le profil. Si vous souhaitez inclure les règles actives et inactives dans le
profil, vous devez les sélectionner de manière individuelle dans la
liste de règles et sélectionner Ajouter la sélection.
- Dans l'onglet Planning , entrez l'intervalle de temps de la recherche sauvegardée et définissez les paramètres de planification de profil.
- Dans l'onglet Récapitulatif , passez en revue la configuration et choisissez d'exécuter le profil immédiatement.
- Cliquez sur Sauvegarder.
Le profil est placé dans une file d'attente pour être traité. Les
profils en file d'attente basés sur un planning défini sont
prioritaires sur les exécutions manuelles.