QRadar Use Case Manager の構成

ユース・ケース・エクスプローラーは、QID レコードおよび DSM イベント・マッピング情報を使用して、ログ・ソース・タイプごとのルール適用範囲の決定を支援します。 ユース・ケース・エクスプローラーは自動的にロードされますが、ユーザーはいつでも設定を更新できます。 必要に応じて、プロキシー接続、オフェンスに関連するアプリケーション・パフォーマンス、および検出結果のチューニングを構成します。

手順

  1. 「管理」 タブで、 QRadar 「 Case Manager > 「構成」をクリックします。
  2. QRadar®のデータと同期するには、 「QID レコードの同期」をクリックします。 このプロセスは、完了するまでに約 30 分かかる場合があります。 レコードの同期中も引き続きアプリケーションを使用できますが、処理するデータが正確ではない可能性があります。
  3. イベント・マッピングを手動で最新表示するには、 「DSM イベント・マッピングの同期化」をクリックします。
    初めてアプリケーションをインストールする場合は、インストール後に自動的に同期されます。 QRadar Use Case Manager 2.0.0 以降にアップグレードする場合は、同期する必要はありません。
  4. MITRE マッピング (カスタムおよび IBM デフォルト) をバックアップするには、 「MITRE マッピングのエクスポート (Export MITRE mappings)」をクリックします。 このバックアップ・ファイルは、後から「ユース・ケース・エクスプローラー (Use Case Explorer)」ページでインポートできます。
    このファイルからインポートされるのはカスタム・マッピングのみです。
  5. QRadar Use Case Manager 3.1.0 以降にアップグレードする場合、 Report on migration from MITRE v6.3 to vx.xというセクションが表示されることがあります。 このレポートは、以前のバージョンのアプリにMITRE マッピングがあり、MITRE v8.1 以降のサポートで非推奨になった場合に表示されます。 以前のバージョンのアプリケーションで作成されたすべてのカスタム・マッピングは、自動的に新規バージョンにマイグレーションされます。 現在非推奨になっている技法や特定の戦術では存在しない技法へのマッピングは削除され、マイグレーション・レポートに組み込まれます。 これらのルールへの新しいマッピングを作成することを検討してください。
    影響を受けるマッピングをメモしたら、「マイグレーション・レポートのクリア (Clear migration report)」をクリックして、レポート通知を完全に削除できます。 非管理ユーザーは、 「ユース・ケース・エクスプローラー (Use Case Explorer)」 ページでレポート・マイグレーション通知を確認できます。
  6. プロキシー・サーバーを構成するには、 「プロキシー構成」 セクションを展開し、プロキシー・サーバーに関する以下の情報を入力します。
    • プロトコル
    • アドレスまたはホスト名
    • ポート
    • ユーザー名
    • パスワード
  7. オフェンスのコントリビューションを構成するには、 「パフォーマンス構成 (Performance configuration)」 セクションを展開し、以下のオプションを変更して、 「実行依頼」をクリックします。
    オフェンスのコントリビューション
    デフォルトでは、有効になっています。 このオプションを無効にすると、以下の機能が無効になります。
    • ユース・ケース・エクスプローラーの非アクティブ・レポートは、「チューニング」ホーム・ページの「非アクティブ・ルールのチューニング」カードへのアクセス・ポイントを含めて無効になります。
    • 「アクティブ・ルール」 ページのルール・オフェンスの寄与傾向は表示されません。
    • 「アクティブ・ルール」 ページのレポート・テーブルの「イベント・カウント」列が削除されました。
    オフェンスのコントリビューション (日数)
    デフォルトは 90 日です。 この設定は、 「オフェンスのコントリビューション」 オプションが有効になっている場合にのみ有効になります。 「アクティブ・ルール」 ページには、ルール・オフェンスの寄与傾向グラフとイベント・カウント傾向グラフが表示されますが、表示できるのは、過去 (日数) のデータのみです。 日数を変更しても、データベースに既に保管されているデータは消去されません。 この設定の更新によって影響を受けるのは、新規データのみです。
  8. チューニング検出結果の生成が原因で予期しないパフォーマンス上の問題が発生した場合 (ロードに時間がかかる、 QRadar Use Case Manager アプリケーションが応答しなくなるなど) は、以下の手順を実行します。
    1. 「検出結果構成のチューニング」 セクションで、個々のチューニング検出結果を使用不可にします。
    2. 数を超えた場合に検出結果をトリガーするリファレンス・セット・エレメントの数を設定します。 デフォルトは 5000 です。
    3. 「実行依頼」 をクリックしてから、 「チューニング検索」 レポートを最新表示するか、アプリケーションを再始動して、更新された変更を実装します。
  9. 「実行依頼」 をクリックして、 「設定」 ページを閉じます。

次に実行するタスク

QRadar Use Case Manager