コンテンツ拡張からの QRadar ルール・カバレッジのギャップの識別

コンテンツ拡張は、 IBM® QRadar® セキュリティー情報を更新するか、ルール、レポート、検索、リファレンス・セット、カスタム・プロパティーなどの新規コンテンツを追加します。 コンテンツ拡張によってルール・レポートをフィルタリングし、 IBM Security App Exchangeからコンテンツ拡張をインストールすることで、ご使用の環境でログ・ソースまたは MITRE の戦術および技法のルール適用範囲を拡大する方法を確認します。

1. 「ユース・ケース・エクスプローラー」 ページで、 「コンテンツ拡張属性」 セクションのフィルターに移動します。 デフォルトでは、 QRadar Use Case Manager アプリケーションは、ご使用の環境にインストールされているコンテンツ拡張をフィルタリングします。
   1. ご使用の環境にインストールされていない IBM作成のコンテンツ拡張を検索に含めるには、 「インストールされていないコンテンツ拡張を含める」 チェック・ボックスを選択します。
   2. ご使用の環境にインストールされていないコンテンツ拡張のみをフィルタリングするには、 「インストールされていないコンテンツ拡張を含める (Include non-installed content extensions)」 を選択してから、 「インストールされていないコンテンツ拡張のみを含める (Include only non-installed content extensions)」を選択します。
2. ご使用の環境に現在インストールされている拡張、またはまだインストールされていない拡張の中から、コンテンツ拡張の名前でフィルタリングします。
3. IBM Security App Exchangeからの特定のコンテンツ拡張カテゴリーでフィルタリングします。
4. 必要に応じて、 「コンテンツ拡張: コンテンツ拡張名」、 「コンテンツ拡張: コンテンツ・カテゴリー」、および 「ルール属性: インストール済みルール」の列をルール・レポートに追加します。 これらの列がすぐにレポートに表示されない場合は、テーブル行のグループ化を解除してください。
   ヒント: ご使用の環境にインストールされていないレポート内のコンテンツ拡張は、 「ルール名」 列に 「コンテンツがありません」 アイコンで示されます。 各アイコンの上にマウスを移動すると、欠落したルールを提供できるコンテンツ拡張が表示されます

   
5. 現在インストールされていないルールの詳細を確認するには、ルール名をクリックします。 ルールの詳細を調べると、そのルールでご使用の環境に重要な適応範囲を追加できるかどうかを判断できます。その上で、当該ルールを含むコンテンツ拡張をダウンロードできます。
6. テーブル行のグループ化方法をカスタマイズするには、ツリー構造アイコン () の 「グループ化の構成」 矢印アイコンをクリックします。
   1. 対応するチェック・ボックスを選択して、グループ化する列を選択します。 レポートに現在リストされているグループ化可能な列のみが、レポートでの出力順に表示されます。
      選択すると、レポートの表示例が「行のグループ化のオプションの構成」ウィンドウに表示されます。
   2. 子の行の数のみをレポートに表示するには、対応するチェック・ボックスを選択します。
   3. 選択した後、 「適用」をクリックします。
7. コンテンツ拡張をダウンロードするには、 「コンテンツ拡張名」 列のリンクをクリックして、 IBM Security App Exchangeの拡張のページに移動します。 IBM QRadar Assistant 2.0.0 アプリケーションが QRadar デプロイメントにインストールされている場合は、そこからコンテンツ拡張をダウンロードできます。
8. レポート結果を消去するには、「フィルターのクリア (Clear filters)」をクリックし、左側のペインで新規フィルターを選択してから、「フィルターの適用 (Apply filters)」をクリックして新しい結果を表示します。