Importation d'indicateurs de compromission dans un ensemble de référence

Pour ajouter des éléments à un ensemble de référence, importez les données de l'indicateur de compromis (IOC) dans l'ensemble de référence. Importez les données de l'indicateur de compromission dans un ensemble de référence lorsque vous souhaitez que IBM QRadar compare une propriété à la valeur de l'élément. Utilisez QRadar pour ajouter manuellement des éléments à un ensemble de référence ou pour importer des éléments à partir d'un fichier .csv .

Avant de commencer

Pour importer des éléments, assurez-vous que le fichier .csv est stocké localement.

A propos de cette tâche

Vous pouvez affecter des données de référence à un domaine spécifique. Les données de référence propres à un domaine peuvent être consultées par les utilisateurs titulaires qui ont accès au domaine, les administrateurs MSSP et les utilisateurs qui ne possèdent pas d'affectation de titulaire. Les utilisateurs dans tous les titulaires peuvent afficher les données de référence partagées. Par exemple, les utilisateurs MSSP qui ne sont pas des administrateurs peuvent afficher les données de référence qui sont affectées à un domaine.

Procédure

  1. Accédez à l'onglet Admin .
  2. Dans la section Configuration du système , cliquez sur Gestion des ensembles de référence.
  3. Sélectionnez l'ensemble de références auquel vous souhaitez ajouter les éléments, puis cliquez sur Afficher le contenu.
  4. Cliquez sur l'onglet Contenu .
  5. Pour ajouter des éléments de données manuellement, procédez comme suit :
    1. Cliquez sur Ajouter et configurez les paramètres.

      Les valeurs de port valides sont comprises entre 0 et 65535. Les adresses IP valides sont comprises entre 0 et 255.255.255.255.

      Remarque: si vous utilisez des techniques de brouillage de données sur les propriétés d'événement que vous souhaitez comparer aux données de l'ensemble de référence, vous devez utiliser un ensemble de références alphanumériques contenant les valeurs de données brouillées.
    2. Cliquez sur Ajouter.
  6. Pour ajouter des éléments à partir d'un fichier .csv , procédez comme suit:
    1. Cliquez sur Importer.
    2. Cliquez sur Sélectionner un fichier et accédez au fichier .csv à importer.

      Le fichier .csv doit être formaté avec tous les éléments séparés par des virgules sur une seule ligne, ou avec chaque élément sur une ligne distincte. Il n'est pas nécessaire d'utiliser un délimiteur lorsque chaque élément se trouve sur une ligne distincte.

    3. Sélectionnez le domaine auquel vous souhaitez ajouter les données de l'ensemble de référence.
    4. Cliquez sur Importer.
      L'importation ajoute le contenu du fichier texte à l'ensemble de référence.