実行およびブロックされたマルウェアおよびファイル・ハッシュの表示

実行およびブロックされたマルウェアおよびファイル・ハッシュをナレッジ・グラフに表示するように QRadar® Advisor with Watson を構成できます。

始める前に

QRadar の管理者特権が必要です。

このタスクについて

実行およびブロックされたマルウェアとファイル・ハッシュをナレッジ・グラフに表示するように QRadar Advisor with Watson を構成するには、マルウェアの実行状況をサポートするシステム上の各デバイス・タイプのカスタム・イベント・プロパティー値に対応する Watson Advisor リファレンス・セットのいずれかに値を追加する必要があります。 2 つのリファレンス・セットが QRadar システム上にインストールされています。

Watson Advisor: ファイル・アクションを許可 (File Action Allowed)
Watson Advisor: ファイル・アクションをブロック (File Action Blocked)

注: ほとんどの一般的な値は定義済みですが、これらのタイプがログと一致しない場合は、新しい値を追加する必要があります。

以下のステップを実行する必要があります。

QRadarでカスタム・イベント・プロパティーを構成または変更します。
Watson Advisor リファレンス・セットにカスタム・イベント・プロパティー値を追加します。
QRadar Advisor with Watson プロパティー・マッピングを構成します。

手順

カスタム・イベント・プロパティーを構成または変更します。
1. 管理 > 「データ・ソース」 > 「イベント」 > 「カスタム・イベント・プロパティー」。
2. マルウェア実行状況をサポートするデバイスからのマルウェア状況を表示する値のイベント・プロパティーを追加します。
Watson Advisor リファレンス・セットを構成します。
1. 「管理」 > 「システム構成」 > 「リファレンス・セット管理」。
2. 以下のリファレンス・セットのいずれかに、(ステップ 1 で作成された) カスタム・イベント・プロパティーで検出される可能性があるすべての値を追加します。
  - Watson Advisor: ファイル・アクションを許可 (File Action Allowed) (例えば、「現状のまま (Left alone)」)
  - Watson Advisor: ファイル・アクションをブロック (File Action Blocked) (例えば、「削除時に消去 (Cleaned by deletion)」)
  ほとんどの共通の値は事前設定されますが、それらの値がログと適合しない場合は、新しく追加する必要があります。
QRadar Advisor with Watsonでプロパティー・マッピングを構成します。
1. 「管理」 > > 「構成」。
2. 「プロパティー・マッピング」セクションで、「マッピングの追加」をクリックします。
3. 「タイプの選択」リストで、「イベント」をクリックします。
4. 「正規名の選択」リストで、「実行されたファイル・アクション」をクリックします。
5. 「プロパティー名の選択」リストで、ステップ 1 のカスタム・プロパティー定義をクリックします。
6. 「追加」をクリックします。
例:
以下の例では、ログから実際のアクション「削除時に消去 (Cleaned by deletion)」をプルするようにカスタム・イベント・プロパティーが設定されています。

「削除時に消去 (Cleaned by deletion)」が「Watson Advisor: ファイル・アクションをブロック (File Action Blocked)」リファレンス・セットに追加された場合、ナレッジ・グラフには、ファイルの実行がブロックされていることが表示されます。

結果

カスタム・イベント・プロパティー・マッピングおよび Watson Advisor リファレンス・セットを構成しておくと、マルウェアがいつ実行されたかをナレッジ・グラフで確認できます。

例

注: このグラフは、アプリケーションの V2.4.1 で実行されたマルウェアの例を示しています。