Définition des priorités des infractions
L'indice de magnitude d'une infraction est une mesure définissant l'importance de l'infraction dans votre environnement. IBM QRadar utilise l'évaluation de magnitude pour définir les priorités des infractions et vous aider à déterminer les infractions à examiner en premier.
L'indice de magnitude d'une infraction est calculée en fonction de la pertinence, de la gravité et de la crédibilité.
- La Pertinence détermine l'impact de l'infraction sur votre réseau. Par exemple, si un port est ouvert, la pertinence est élevée.
- La Crédibilité indique l'intégrité de l'infraction telle que déterminée par le classement de crédibilité configuré dans la source de journal. La crédibilité s'accroît lorsque plusieurs sources signalent le même événement.
- La gravité indique le niveau de menace que représente une source par rapport au degré de préparation de la destination face à l'attaque.
QRadar utilise des algorithmes complexes pour calculer l'évaluation de l'ampleur de l'infraction et l'évaluation est réévaluée lorsque de nouveaux événements sont ajoutés à l'infraction et également à des intervalles planifiés. Les informations suivantes sont prises en compte lors du calcul de la magnitude de l'infraction :
- nombre d'événements et de flux associés à l'infraction
- nombre de sources de journal
- âge de l'infraction
- poids des actifs associés à l'infraction
- catégories, gravité, pertinence et crédibilité des événements et des flux qui contribuent à l'infraction
- évaluation des menaces et vulnérabilités des hôtes impliqués dans l'infraction
L'évaluation de la magnitude d'une infraction est le résultat de nombreux facteurs et peut ne pas correspondre à la magnitude d'un seul événement. L'algorithme de magnitude QRadar est utilisé sur toutes les infractions pour définir la magnitude des infractions. Une règle ne peut pas définir explicitement la valeur ; elle ne peut contribuer qu'au calcul.