QRadar システムの最適化

QRadar® Advisor with Watson で最良の結果を得るために、カスタム・マッピング構成を確認して、QRadar Advisor with Watson によって使用されているログ・ソースを確認することで、IBM® QRadar を最適化できます。

始める前に

QRadar システムを最適化するには、 QRadar 管理者特権が必要です。

このタスクについて

QRadar Advisor with Watson アプリケーションは、イベント・ペイロードまたはフロー・ペイロードから値をプルするのではなく、定義済みの QRadar カスタム・プロパティーおよび標準プロパティーに依存します。 結果の品質を向上させるには、 QRadar Advisor with Watsonで使用されるカスタム・プロパティーとログ・ソースを確認します。

手順

  1. ナビゲーション・メニュー ( ナビゲーション・メニュー・アイコン ) で、 「管理」をクリックします。
  2. 「アプリケーション」セクションの「 QRadar Advisor with Watson」の下で、 「構成」をクリックします。
  3. 「オプション設定」 をクリックして、 「オプション設定」 メニュー・ページを開きます。
  4. 「最適化」をクリックします。
  5. 「レポートの実行」をクリックします。
  6. デフォルトでは、プロパティーがマップされていて、かつオフェンスに含まれているイベントの合計が有効になっています。 切り替えを無効にして、プロパティーがマップされているが、必ずしもオフェンスに含まれているとは限らないイベントをすべて表示するには、「オフェンス内 (In offenses)」をクリックします。
  7. ログ・ソースを確認して、予期されるログ・ソースがすべて存在していることを確認します。 ログ・ソースがリストされていないか、 QRadar Advisor with Watsonによって使用されるイベントの数が多くない場合は、さらに多くのマッピングが必要であることを示しています。
    「ログ・ソース」画面
  8. 「プロパティー・マッピング (Property Mapping)」セクションで、構成ウィザードが前回実行されてから追加または変更されたカスタム・プロパティーがあるかどうか確認します。
    まだマップされていないプロパティーがある場合はリストされます。
  9. アプリケーションで使用するためにマップするプロパティーの横にある マッピングの追加 アイコンをクリックします。
  10. リストから正規名を選択し、 「追加」をクリックします。
    「マッピングの追加」画面
  11. 「完了」をクリックします。