オフェンス処理分析
QRadar® Advisor with Watson アプリケーションのオフェンス処理分析 (ODA) は、過去の類似したオフェンスの分析に基づいて調査中のオフェンスに使用される可能性が最も高いクローズ理由を提供します。
QRadar Advisor with Watson は、過去 6 時間にクローズされたオフェンスからデータを収集します。 オフェンス処理分析を使用してオフェンスを分析するには、標準の QRadar クローズ理由またはカスタムのクローズ理由を使用してオフェンスをクローズし、 QRadar Advisor with Watson アプリケーションによって調査する必要があります。
注: オフェンス処理分析が正確であるためには、 QRadar Advisor with Watsonを実行している環境ごとに 1 つの API キーとパスワードを使用する必要があります。
処理分析を行うために必要な数の、最近発生した同様のオフェンスがない
次のメッセージが表示されることがあります。There are not enough recent similar offenses to provide a
disposition analysisこのメッセージは, ODA の問題を示すものではなく, 次の場合には正常です。
- オフェンス処理分析では、処理分析を実行する前に、 QRadar システムから十分なメタデータを収集する必要があります。 処理分析を行うには、同じオフェンスの説明を持つ、少なくとも 10 個のオフェンスからのクローズ情報が必要です。 ユーザーが確認しているオフェンスと同じ説明を持つクローズ済みのオフェンスを、アプリケーションが少なくとも 10 個認識していない場合、このメッセージが表示されます。 クローズしたオフェンスでさらにメタデータが収集されると、このメッセージは最終的に表示されなくなり、代わりに処理分析の結果が表示されるようになります。 注: 結果を更新するために、オフェンスを再調査する必要はありません。 後で調査を表示すると、十分なデータが収集されていれば、ODA 結果は自動的に更新されます。
- オフェンス処理分析によって、ユーザーが確認しているオフェンスと同じ説明を持つ、10 個以上のクローズしたオフェンスに関するデータが収集されたが、それぞれのクローズ理由の数が同じであるため、オフェンス処理分析で推奨を提示できない。 例えば、同じ説明を持つオフェンスが、フォールス・ポジティブとして 5 回、エスカレートとして 5 回、ポリシー違反行為として 5 回、問題なしとして 5 回クローズされると、ODA は上位 3 つのクローズ理由の推奨を提示できず、さらにデータが収集されるまで、このメッセージが表示されます。
- オフェンス処理分析は、 QRadar Advisor with Watson によってステージ 2 (Watson Enriched) またはステージ 3 (Expanded Local Context) に調査されたオフェンスに対してサポートされます。 オフェンスに対して、ステージ 1 までの自動調査 (ローカル・マイニング) しか行われていない場合、収集されているデータの量に関係なく、このメッセージが表示されます。 いつでもオフェンスを手動で再調査して、結果を表示できます。
- オフェンス処理分析は、標準またはカスタムの QRadar クローズ理由を使用して QRadar システムでオフェンスがクローズされている場合にのみサポートされます。 オフェンスが QRadar でクローズされていない場合、オフェンス処理分析でメタデータを収集できないため、すべてのオフェンスに対して常にこのメッセージが表示されます。
- QRadar Advisor with Watson 管理者は、 QRadar 「管理」タブからデータ・モデルをリセットします。 データ・モデルをリセットすると、十分なデータがもう一度収集されるまで、オフェンス処理分析でこのメッセージが表示されます。
- QRadar Advisor with Watson 管理者が、 QRadar Advisor with Watson 用に構成されている XFE 資格情報を新しい資格情報セットに変更しました。 オフェンス処理分析データは XFE API キーごとに収集されるため、XFE API 資格情報を変更すると、新しい資格情報での十分なデータが収集されるまで、このメッセージが表示される可能性があります。
- バージョン 1.X.X でオフェンスを調査した後、バージョン 2.0.0 以降にアップグレードすると、1.X.X によって調査されたオフェンスでは常にこのメッセージが表示されます。 オフェンス処理分析は、QRadar Advisor with Watson 2.0.0 以降によって調査されたオフェンスに対してのみサポートされています。
トレーニング・モデルのリセット
次の条件が当てはまる場合、オフェンス処理分析のトレーニング・モデルをリセットする必要があります。
- CRE ルールの実装や調整、新しいログ・ソースの追加などの大幅な変更を QRadar 構成に対して行った場合。 QRadar 構成に対して大幅な変更を行うと、現在のトレーニングが無効になる可能性があります。
- QRadar システムのオフェンス・クローズ理由を使用する方法を変更した。 例えば、新しいカスタムのクローズ理由を追加して現在の理由を置き換えた場合、クローズ理由を一貫性のある方法で使用していない QRadar ユーザーの存在に気付いた場合、不正確なクローズ理由によるオフェンスの一括クローズがある場合などです。
QRadar 7.3.3 以降のオフェンス処理トレーニング・モデルをリセットするには、 QRadar ナビゲーション・メニューで、 をクリックし、 「トレーニング・モデルのリセット」をクリックします。
