QRadar ルールおよびビルディング・ブロックの調査

さまざまなプロパティーのフィルタリングによってルールを調査することで、ログ・ソースの適用範囲を含めて、ルールが定義されていること、目的どおりに機能していることを確認します。 IBM® QRadar® で編集したり、 IBM QRadar Use Case Manager アプリケーションでさらに調査したりする必要があるルールを決定します。

1. 「ユース・ケース・エクスプローラー」 ページに移動し、リスト・アイコンをクリックして、 使用するテンプレートを選択します。
2. 属性、 アクティビティー、テスト、MITRE ATT & CK 戦術と技法、またはコンテンツ拡張属性によってルールとビルディング・ブロックをフィルタリングします。
3. 編集または検索するルールを探すには、正規表現を使用して、ルール名、戦術、または技法でフィルタリングします。 「グループ」フィルターを使用して、検索するグループ (認証、コンプライアンスなど) を選択することもできます。
   括弧内のテキストを検索する場合は、正規表現で円記号を使用します。 例えば、Multiple Login Failures from the Same Source \(Windows)\などです。

   
4. ルールを作成するには、正符号アイコンをクリックし、 「イベントまたはフロー」 または 「オフェンス」 を選択してルール・ウィザードを開きます。
   新しいルールがレポートに表示されるまでに数分かかる場合があります。 新しいルールを即時に表示するには、レポートのメニュー・バーの「最新表示」アイコンをクリックします。
5. ルールおよびビルディング・ブロックを調査しやすくするために、レポートの表示をカスタマイズします。
   
6. 個々のルールまたはビルディング・ブロックを調べるには、レポート・テーブルがグループ化されていないことを確認してください。 次に、ルール名を選択してルールの調査ページを開き、選択したルールまたはビルディング・ブロックについての詳細を取得します。
7. 複数のルールまたはビルディング・ブロックを同時に調査するには、レポート・テーブルの鉛筆のアイコンをクリックし、各テーブル行のチェック・ボックスを表示します。 編集対象のルールまたはビルディング・ブロックを選択し、「ルール・ウィザードで開く」をクリックします。
   重要:

   QRadar 7.4.1 フィックスパック 2 以降では、「特定の時間内の現在のルールによるオフェンスの作成 (Offense creation by current rule in a certain time)」 グラフ内の選択したルールのトレンドに対する日付範囲を変更できます。 ルールをいったん閉じて再度開くと、日付範囲はデフォルトのフィルタリングの日付範囲 (1 カ月) に戻ります。

   QRadar 7.3.3 では、デフォルトの日付範囲は 3 日であり、編集できません。

8. 個々のルールを有効または無効にするには、レポートで「ルールが有効」列が表示されていることを確認し、トグルオンまたはオフに/span>切にり替える。を
   重要: 有効なルールに依存関係がある場合、そのルールを無効にすることはできません。 使用不可になっている依存関係またはインストールされていない依存関係がある場合は、ルールを使用可能にできません。 警告メッセージ内で、従属または依存関係のリストを確認できます。
9. ルールを一括して有効または無効にするには、鉛筆アイコンをクリックし、該当するルールを選択してから、レポートメニューバーの「有効」または「無効」のいずれかをクリックします。
   重要:有効化されたルールに依存ルールがある場合、ルールが無効になるように、依存ルールも無効にする必要がある。 無効化されたルールに依存関係がある場合、その依存関係も有効化して、ルールが 有効になるようにしなければならない。
10. ルールまたはビルディング・ブロックの MITRE マッピングを編集します。 詳細については、ルールまたはビルディングブロック内のMITREマッピングの編集を参照してください。
11. 選択したルールまたはビルディング・ブロックにカスタム・ルール属性を追加するには、以下のステップに従います。
    1. レポートのメニュー・バーで、 「ルール・ウィザードで開く」 をクリックします。
    2. 画面の中央ペインで、 「カスタム属性」 セクションを展開します。
    3. 現在、ルールにカスタム属性が追加されていない場合は、正符号アイコンをクリックして、関連する各属性と値のチェック・ボックスを選択します。 次に、 「保存して適用」をクリックします。
       ヒント: このウィンドウで新規カスタム属性を定義することもできます。
    4. 既にルールに追加されているカスタム属性にさらに値を追加する場合は、その属性の正符号アイコンをクリックして、リストから値を選択します。
       ヒント: このウィンドウで新しいカスタム属性値を定義することもできます。
    5. ウィザードを閉じます。
       ヒント：編集や削除など、カスタムルールの属性とその値を完全に管理するには、［設定 ］＞［ カスタムルール属性］に進みます。
12. オプション：必要であれば、テスト定義セクション内ノートや参照セットなど、鉛筆アイコンのあるルールの コンポーネントを編集することができます。の
13. QRadar User Behavior Analyticsルールを調査するには、ユーザー行動分析ルールの調査を参照してください。
14. レポート・データを編成した後で、ルールおよびビルディング・ブロックを可視化します。
15. レポートを CSV またはXML ファイルとしてエクスポートし、他の人と共有します。
16. MITRE マッピングを JSON ファイルとしてエクスポートして、他のユーザーと共有します。