既知の問題

QRadar Use Case Manager 4.0.0.

MITRE ATT&CK フレームワーク・ドメインのユーザー設定を行わない場合、ルールで MITRE マッピングの追加や変更を試みると、アプリがエラーになる可能性があります。

20k 件以上の違反がある場合、ルール詳細ページの読み込み中に問題が発生し、ページの一部が読み込まれ続けるものの、読み込みが完了しないことがあります。 最終的にアプリがクラッシュし、エラーが表示されます。

回避策は、構成ページの 「パフォーマンス構成」 セクションでオフェンス・コントリビューション設定を無効にすることです。

zip ファイル内の複数のルールまたは単一のルールをエクスポートすると、エクスポートが停止し、「処理中」状態のままになることはありません。

バージョン 3.1.0 では、カスタム統合が機能しなくなる可能性があり、その結果、QRadar 環境の外部から QRadar Use Case Manager API に接続できなくなる可能性があります。 QRadar Use Case Manager 3.1.0 以降での回避策は、「構成」ページで使用されるのと同じトークンを使用して API 呼び出しを認証することです (API 呼び出しで SEC ヘッダーを追加します)。 バージョン 3.2.0 以降にアップグレードして、QRadar Use Case Manager の構成に使用したトークンを使用する場合は、カスタム統合が機能します。

ログ・ソース、カスタム・プロパティー、参照セットなどのよく参照されるエレメントは、QRadar Use Case Manager、および QRadar の「ルールの詳細」セクションで古い名前で表示される場合があります。 QRadar Use Case Manager は、ルール XML 内のテキストから、ルール・テストによって参照されるエレメントの名前を取得します。 参照されたエレメントがその名前を変更すると、ルール XML 内のテキストは更新されません。

テスト定義で参照されているルールまたはビルディング・ブロックがデータベース内で手動で更新された場合、テスト定義が古い名前で表示されることもあります。

回避策として、 QRadar Use Case Manager のルール・ウィザードでルールを編集し、それを保存 (何も変更せずに 「終了」 をクリック) して、テキストの不一致を解決することができます。

QRadar Use Case Manager は、更新後 15 分以内、または明示的にルールを最新表示したときに、ルール内のログ・ソース・タイプ名を更新します。

このアプリケーションでは、正規表現でスラッシュ文字 (/)を検索できません。 例えば、「ユース・ケース・エクスプローラー (Use Case Explorer)」ページのフィルター内のルール名やテスト定義、および表の検索バーでのルール名などの場合です。 回避策としては、ワイルドカード文字として疑問符 (?)を使用します。

QRadar の破損したルールにより、 QRadar API が必要なデータを返すことができません。 これにより、 QRadar Use Case Manager アプリケーションはルール関連機能を使用できなくなります。