Watson を検索して情報を表示し、単一の指標タイプに関する証拠を見つけます。
始める前に
すべてのドメインを検索したり、他のユーザー役割を作成したり、ドメインを割り当てたりするには、 QRadar® 管理者特権が必要です。
「Watson の検索」 をクリックして検索を開始します。
ヒント： 検索 Watson アイコンは
QRadar ハブのアイコン
の隣にあります。
ヒント: ダーク・テーマ UI (2.6.0) では、
「検索」 Watson ボタンが
Watson 「調査」 ページにあります。
このタスクについて
単一の指標クイック検索に加えて、複数の指標を追加し、リファレンス・セットを選択することで、複数の指標検索を開始できます。 詳しくは、 Watson での複数の指標タイプの検索を参照してください。
手順
- 「検索」 Watson をクリックして、 「検索」 Watson ペインを開きます。
- クイック検索を開始するには、 「単一インディケーターのクイック検索」 フィールドに以下のいずれかのインディケーター・タイプを入力します。
- URL
- ドメイン
- IP アドレス - プライベート IP 範囲、Google DNS、および OpenDNS 内の IP アドレスはサポートされていません。
- ハッシュ - サポートされるハッシュ・タイプは MD5、SHA1、SHA256、ssdeep などです。
ヒント： URL に検索を制限するには、 url: と検索したい URL を次の例のように入力します： url:ibm.com。 検索先を 1 つのドメインに制限するには、domain: と検索先のドメインを domain:ibm.com の例のように入力します。
検索すると、指標タイプに関して見つかった情報が返されます。
- ローカルの QRadar インスタンスおよび Watsonで詳細検索を続行するには、 「調査の作成」をクリックします。
- ローカル・コンテキストの時間フレームの日時を設定して、選択した時間フレーム中に検出されたローカル QRadar 内の観察事項を調査します。
- 1 つまたは複数のドメインを選択します。 複数のドメインを選択した場合、調査は、選択されたドメインから発生したイベントのみに制限されます。 選択したドメインごとに「インシデント概要」ページ上に個別の調査が作成されます。 調査のために選択したそれぞれのドメインは、日次割り当てに対してカウントされます。
ヒント:マルチテナント検索機能を使用するには、QRadar 内でさまざまなドメインを作成してユーザー・ロールを指定し、そのドメインを占有するテナントを定義しておく必要があります。 詳しくは、 マルチテナント管理を参照してください。
ドメインを作成した後、 QRadarの 「ユーザー・ロール」 で、他のユーザーに QRadar Advisor with Watson へのアクセス権限を割り当てることができます。 割り当てられたユーザーは、さまざまなドメインにログインして、検索を実行できます。
- 調査を実行するには、 「開始」 をクリックします。 調査が結果を返すまでに数分かかる場合があります。
- Watson 「調査」 ページで完了した調査をクリックして、分析の結果を表示します。
- 「グラフの関係」 をクリックして、関係グラフに結果を表示します。
- 何か変更があった場合は、 「再調査」 をクリックして別の調査を開始します。
再調査は、日次割り当てに対してカウントされます。
