オフェンスを自動的に調査

QRadar でオフェンスを自動的に調査するように QRadar® Advisor with Watson アプリケーションを構成できます。

1. ナビゲーション・メニュー ( ) で、 「管理」をクリックします。
2. 「アプリケーション」セクションの「 QRadar Advisor with Watson」の下で、 「構成」をクリックします。
3. 「オプション設定」 をクリックして、 「オプション設定」 メニュー・ページを開きます。
4. 「自動調査」をクリックします。
5. 「自動ローカル調査を有効にする」 チェック・ボックスを選択します。
6. 以下のオプションから選択してください。
   • Watson によって推奨されたオフェンスを調査する (Investigate offenses suggested by Watson)
   • 構成されている基準に一致したオフェンスを調査する (Investigate offenses that match configured criteria)
7. 「構成された基準に一致するオフェンスの調査」を選択した場合は、以下の基準を構成します。

   オプション	説明
   オフェンス状況 (Offense status)	自動調査の対象に組み込むオフェンスのタイプを指定します。 オープン: アクティブまたは非アクティブのオープン・オフェンスをすべて調査対象として選択します。 アクティブ: オープンかつアクティブのオフェンスのみを調査対象として選択します。 非アクティブなオフェンスとクローズされたオフェンスは自動調査の対象に組み込まれません。
   マグニチュード範囲 (Magnitude range)	自動調査の対象として選択するオフェンスのマグニチュード範囲を指定します。 オフェンスのマグニチュードは、定義されている範囲内でなければなりません。 例えば、選択された範囲が 8 から 10 である場合、マグニチュード 8、9、および 10 のオフェンスが基準と一致します。 ヒント: 絶対値を単一の整数に制限する場合は、スライダーを結合して重なり合うようにします。
   オフェンスの開始時間	オフェンスが調査されるまでに経過する必要がある時間の長さ (1 分から 24 時間) を指定します。 例えば、20 分を指定する場合、オフェンスが調査される前に 20 分以上経過している必要があります。 ヒント: Watson で多くの観察事項が検出されない場合は、 QRadar システムでより多くのイベントを収集できるように、開始時刻を増やすことを検討してください。 さらに多くのオフェンスが収集されるまで待つことで、Watson に分析すべき証拠をさらに多く提供できます。 ヒント: オフェンスの開始日時を表示するには、 「オフェンス」 タブの「開始日」列を表示します。
   最後のイベント/フロー	オフェンスが最後に新規イベントで更新されてから、オフェンスが調査されるまでに経過する必要がある時間の長さ (0 分から 24 時間) を指定します。 例えば、20 分を指定する場合、調査よりも少なくとも 20 分前にイベントが更新されている必要があります。 ヒント: オフェンスの最後のイベントまたはフローがいつ発生したかを確認するには、 「オフェンス」 タブの「最後のイベント/フロー」列を表示します。
   オフェンスの上位カテゴリー	オフェンスの上位カテゴリーを指定します。 すべてのオフェンスの上位カテゴリー: すべてのオフェンスの上位カテゴリー・タイプを調査する場合に選択します。 選択したオフェンスの上位カテゴリー: リストから「使用可能なオフェンスの上位カテゴリー」を選択し、下矢印をクリックして、対象のタイプを「選択したオフェンスの上位カテゴリー」リストに追加します。 注: 少なくとも 1 つの上位カテゴリーのオフェンスをリストから選択する必要があります。 ヒント: オフェンスの上位カテゴリーとそれに関連付けられている下位カテゴリーを表示するには、以下のステップを実行します。 「オフェンス」タブの「オフェンスのサマリー」ページで、 表示 > 「カテゴリー」 をクリックして、オフェンスの下位カテゴリーを表示します。 「オフェンス」タブで、 「カテゴリー別」をクリックします。 オフェンスは、上位カテゴリーによってグループ化されています。 特定の上位カテゴリーに対する下位カテゴリーを表示するには、上位カテゴリー名の横の矢印アイコンをクリックします。 詳しくは、ヘルプ・アイコンをクリックしてください。
   オフェンスのタイプ	オフェンスのタイプを指定します。 すべてのオフェンス・タイプ (All offense types): すべてのオフェンス・タイプを調査する場合に選択します。 選択したオフェンス・タイプ (Selected offense types): リストから「選択可能なオフェンス・タイプ (Available offense types)」を選択して、下矢印をクリックし、タイプを「選択したオフェンス・タイプ (Selected offense types)」リストに追加します。 注: 少なくとも 1 つのオフェンス・タイプをリストから選択する必要があります。

8. 自動調査の構成基準を満たすオフェンスを Watsonに送信するには、 「 Watson 拡張調査の有効化」 チェック・ボックスを選択します。
9. 「最大日次制限」 を設定して、自動調査に使用する日次制限の最大パーセンテージを割り振ります。 割り振られたパーセンテージが使用されると、その日は Watson 拡張調査は停止します。ただし、自動ローカル調査は続行されます。 翌日、日次割り当てがリセットされると、Watson 拡張調査は再開します。
   注: エンタープライズ・ライセンスを持っている場合、このオプションは表示されません。
10. 以前に調査したオフェンスを自動的に再調査するには、 「自動再調査を有効にする」 チェック・ボックスを選択します。

    自動再調査が有効になっている場合、 QRadar Advisor with Watson アプリケーションは、以前に調査されたオフェンスのうち、以下の基準を満たすものを再調査できます。自動的に調査されたのは 1 回のみで、再調査されておらず、前回の調査以降にさらに多くのイベントおよびフローが累積されています。

11. 「実行」をクリックします。
    
12. 「完了」をクリックします。