ビッグ・ナンバー・チャートの作成

ビッグ・ナンバー・チャートでは、チームにモニターさせたい重要なメトリックが SOC の壁面に表示されます。 組織の実績を時系列に沿って表示するには、トレンドをオンにします。

始める前に

以下のいずれかのデータ・ソースに基づいてウィジェットを作成し、照会結果があることを確認します。

手順

  1. ウィジェットの ビュー セクションで、グラフに名前を付け、タイトルと更新状況を表示するかどうかを選択します。
  2. ビッグ・ナンバー・チャートを選択します。
  3. 一般 タブで、値とフォント・サイズを設定します。
  4. データ・フォーマットを なし (フォーマット設定は適用されない)、 日付、 日時、または 数値 として指定します (後者のフォーマットはロケールのデフォルト・フォーマット設定を使用します)。
  5. オフェンス・データ・ソースの場合にのみ、値の集約方法を選択します。 次の表で、選択可能な集約オプションについて説明します。
    オプション 説明
    最初 データ・セットで選択されたフィールドの最初の値を返します。
    平均 選択されたフィールドのすべての数値の平均を返します。
    合計 選択されたフィールドの合計値を返します。
    数 選択されたフィールドの行数を返します。
    最大 選択されたフィールドの最大値を返します。
    最小 選択されたフィールドの最小値を返します。
  6. 現在と前の値を比較するために、トレンドをオンにします。
    チャート上で、値が前の値より増加したか、減少したか、同じままであったかが矢印によって示されます。
  7. For numeric data from AQL data sources, set データが返されない場合は 0 を表示 to オン if you want to prevent a blank chart or aNo data was returnedメッセージ。 この動作は、オフェンス・データ・ソースの標準の動作と一致します。
  8. しきい値 タブで、グラフに条件付きカラー・フォーマットを表示するようにしきい値を設定します。
    1. しきい値インディケーターの追加をクリックします。
    2. しきい値インディケーターを選択し、しきい値を入力してから、 値の追加 をクリックして色を選択するか、カラー・パレットに HTML カラー・コードを入力して、さまざまなグラフで同じ色を選択しやすくします。 例えば、値が 50 を超える場合、背景色を赤、データの色を黒に設定します。 背景色のみを設定すると、選択した背景色に応じて、データの色およびビュー名は対照的な黒または白で表示されます。
      注: 数値以外の列をしきい値として選択することは無効とされています。 照会を実行して結果を取得し、しきい値設定を調べて、それらが適切に機能することを確認します。
  9. オプション: ドリルダウン (Drilldown) タブで、ビッグ・ナンバー・グラフがクリックされたときのドリルダウン・アクションを選択します。 ソース アプリケーション ( IBM QRadar または QRadar Analyst Workflow) 内のダッシュボード、 URL、または特定のページを開くことができます。
    1. ダッシュボードを開くことを選択した場合、開くダッシュボードを選択し、現在のウィンドウと新しいウィンドウのいずれで開くかを選択します。
      ヒント: 同じウィンドウ内で別のダッシュボードにドリルダウンすると、パンくずリストを使用して、ドリル・パス内の以前のダッシュボードに戻ることができます。
    2. URL を開く場合は、 URL （例 https://www.ibm.com ） を開く絶対パス、または DNSルックアップなどの QRadarを開く相対パスを指定します。 URLは新しいブラウザウィンドウで開きます。 。

      URL の任意の場所に任意の数のパラメーターを定義できます。 パラメーターを中括弧 ({})で囲み、次に各パラメーターの値を選択します。

      以下の表に、いくつかの標準的な QRadar URL とパラメーターをリストします。
      説明 URL
      QRadar ポート・スキャン

      データ・ソースに送信元 IP アドレスまたは宛先 IP アドレスを含める必要があります。 {ip_address} ストリングは、ソース IP アドレス列または宛先 IP アドレス列の ip_address URL パラメーターを定義します。 これで、テーブル行にドリルダウンしたときに、その行の送信元 IP アドレスまたは宛先 IP アドレスに対して「ポート・スキャン」ページが開かれます。

      		 
      /console/core/jsp/investigate.jsp?type=port_scan&host={ip_address}
      QRadar DNS 参照

      データ・ソースに送信元 IP アドレスまたは宛先 IP アドレスを含める必要があります。 {ip_address} ストリングは、ソース IP アドレス列または宛先 IP アドレス列の ip_address URL パラメーターを定義します。 これで、テーブル行にドリルダウンしたときに、その行の送信元 IP アドレスまたは宛先 IP アドレスに対して「DNS ルックアップ」ページが開かれます。

      		 
      /console/core/jsp/investigate.jsp?type=dns_lookup&host={ip_address}
      QRadar WHOIS ルックアップ

      データ・ソースに送信元 IP アドレスまたは宛先 IP アドレスを含める必要があります。 {ip_address} ストリングは、ソース IP アドレス列または宛先 IP アドレス列の ip_address URL パラメーターを定義します。 これで、テーブル行にドリルダウンしたときに、その行の送信元 IP アドレスまたは宛先 IP アドレスに対して「WHOIS ルックアップ」ページが開かれます。

      		 
      /console/core/jsp/investigate.jsp?type=whois_lookup&host={ip_address}
      QRadar 「オフェンスのサマリー」 ページ

      データ・ソースにオフェンス ID を含める必要があります。 {offense_id} ストリングは、ID 列の offense_id URL パラメーターを定義します。 これで、テーブル行にドリルダウンしたときに、その行のオフェンス ID に対して「オフェンスのサマリー」ページが開かれます。

      		 
      /console/do/sem/offensesummary?appName=Sem&pageId=OffenseSummary&summaryId={offense_id}
  10. グラフの外観をプレビューし、 保存をクリックします。
    ヒント: グラフのラベルは使用されている照会から取得されます。 プレビューでわかりにくい場合は、「ビュー」セクションでラベルを編集します。