新規または既存の QRadar コンテンツと UEBA アプリケーションとの統合

特定のニーズを満たすために、既存の QRadar ルールを UEBA アプリケーションと統合することで、 QRadar® に組み込まれている機能を使用できます。

始める前に

以下に、 UEBAで機能する 3 つのタイプのコンテンツをリストします。
  • UEBA によって作成され、リスク・スコアを付けてインストールされたコンテンツ。
  • UEBA によって作成されたものではないが、リスク・スコアがあり、デフォルトで UEBA で機能するコンテンツ。 詳しくは、 サポートされる QRadar コンテンツを参照してください。
  • UEBAと連携するように変更できる、 QRadar 内の他のすべてのコンテンツ。
UEBA は、 QRadar リファレンス・テーブル (「UBA: ルール・データ」) を使用して、 UEBAで機能するルールによって送信されるイベントのスコアを決定します。 UEBA をインストールすると、デフォルトで UEBA で機能するすべてのコンテンツが表に最初に取り込まれます。 説明にセンス値を含めるように変更されたルールをルール・データ・テーブルにプルするタスクが 1 時間ごとに実行されます。
制約事項: イベント記述のセンス値は変更しないでください。 リスク・スコアは、 UEBA の「ルールおよびチューニング」ページまたは QRadar Use Case Managerで変更する必要があります。
注: ルールがリファレンス・テーブルに追加されている場合、それらを削除することはできません。 ルールが UEBAにリスク・スコアを送信しないようにするには、ルールを無効にするか、リスク・スコアをゼロに設定します。 詳しくは UEBAアプリのルールとチューニングをご覧ください。

このタスクについて

制約事項: UEBA および Machine Learning リファレンス・セットを使用するようにルールをカスタマイズしないでください。 カスタム・ルールでリファレンス・セットを使用しようとすると、 UEBA アプリケーション内で障害が発生する可能性があります。

ルールがフロー・データに適用される場合は、「イベント・データまたはフロー・データにユーザー名がない場合、ユーザー名を探してアセットを検索します」オプションを有効にして、ユーザー名のないイベントでユーザー・マッピングのルックアップを試行できるようにする必要があります。

リスク・スコアの最大制限は、 UEBA の「設定」ページの「アプリケーション設定」セクションで構成されます。 詳しくは、 アプリケーション設定の構成を参照してください。

QRadar Use Case Manager (または QRadar Use Case Manager 3.1.0 以前) を使用しないコンテンツの統合

このタスクについて

以下のいずれかのシナリオに該当する場合は、手順を実行します。
  • どのバージョンの QRadar Use Case Managerも使用していません。
  • 古いバージョンの QRadar Use Case Manager (3.1.0 以前) を使用している。
  • サポートされていないバージョンの UEBA を使用しています (現在のリリース・バージョンから 2 つ以上のバージョンが戻されています)。

手順

  1. 既存のルールのコピーを作成します。 既存のルールのコピーを作成すると、基本ルールに対する更新が、新規ルールに対して行われた編集に影響を与えることはありません。
  2. 「ルール・ウィザード」 でルールを開き、「ルールの応答」セクションに移動します。
  3. 「イベントの説明」 テキストが以下のようにフォーマット設定されていることを確認して、 「新規イベントのディスパッチ」 オプションを有効にするか編集します。 senseValue=#
  4. 変更内容を保存するには、 「終了」 をクリックします。

Use Case Manager 3.2.0 以降とのコンテンツの統合

このタスクについて

以下の条件が両方とも当てはまる場合は、手順を実行します。
  1. QRadar Use Case Manager 3.2.0 以降を使用している。
  2. サポートされているバージョンの UEBAを使用している。
重要: UEBA 4.1.0 以降および QRadar Use Case Manager 3.2.0 以降にアップグレードすると、 QRadar Use Case Managerでルールを管理し、 UEBA 「ルールおよびチューニング」 ページでルールを管理しなくなります。 詳しくは、 QRadar Use Case Managerを参照してください。

手順

  1. 既存のルールの複製を作成します。 既存のルールの複製を作成すると、基本ルールに対する更新が、新規ルールに対して行われた編集に影響を与えることはありません。
  2. ルールを選択して詳細ページを開き、 「User Behavior Analytics リスク・スコア」を選択します。
  3. スコアを入力し、保存されるまで待ちます。