チューニング検出結果の調査
場合によっては、ルールまたはビルディング・ブロックが正しく定義されていないことがあります。 チューニング検出レポートを使用して、より堅固な情報を得るためにルールまたはビルディング・ブロックを編集する必要があるかどうか、またはルールが設計どおりに機能しているかどうかを調査します。 次に、検出結果が関連していない場合 (例えば、ルールをそのように設定した場合)、またはフォールス・ポジティブである場合に、検出結果を非表示にすることができます。
このタスクについて
- 無効なカスタム・プロパティー
- このルールは、無効なカスタム・プロパティーを参照しています。 カスタム・プロパティー式にパフォーマンス上の問題がある場合、そのカスタム・プロパティー式は無効になります。 このプロパティーを使用し、無効になっている式に依存してプロパティーに値を取り込むルール、レポート、または検索は、正しく機能しなくなります。
- 無効な依存関係
- ルールを無効にすると、すべてのデータが検出されなくなり、ルール依存チェーンの残りの部分が適切にトリガーされなくなります。
- 空のリファレンス・セット
- リファレンス・セットには、検索、フィルター、ルール・テスト条件、およびルール応答で使用できる固有値が含まれています。 空のリファレンス・セットには、ルールを適切にトリガーするための基準がありません。
- ホスト定義はデフォルト IP 値のみを使用します
- ルールにリンクされるホスト定義はデフォルト値であってはなりません。そうしないと、着信ログではデフォルト値ではない IP アドレスとホスト情報 (127.0.0.1) が使用されるため、ルールは機能しません。
- ホスト定義は宛先 IP のデフォルト値のみを使用します
- 規則にリンクされる宛先 IP は、デフォルト IP であってはなりません。 コンテンツ・パックの更新によってルール内のいずれかの IP アドレスが変更された場合、一部の従属ルールが機能しない可能性があります。 BB の 「ホスト定義」 ページに移動して、各従属項目を確認します。
- ホスト定義はソース IP のデフォルト値のみを使用します
- 規則にリンクされるソース IP は、デフォルト IP であってはなりません。 コンテンツ・パックの更新によってルール内のいずれかの IP アドレスが変更された場合、一部の従属ルールが機能しない可能性があります。 BB の 「ホスト定義」 ページに移動して、各従属項目を確認します。
- 元のシステム・ルールが無い
- ルールにはオーバーライド起点がありますが、リンクされた元のシステム・ルールがありません。これは、システム・ルールが誤って削除された場合に発生する可能性があります。 QRadar Use Case Manager はルールを開くことができません。
- 孤立したビルディング・ブロック
- ビルディング・ブロックに従属がありません。 ビルディング・ブロックは、よく使用されるテストをグループ化し、組織に関する重要な情報を含むことができます。 例えば、ネットワーク内のすべてのメール・サーバーの IP アドレスを含むビルディング・ブロックを作成し、そのビルディング・ブロックを別のルールで使用して、それらのホストを除外することができます。 孤立した BB はどのルールによっても参照されないため、重要な情報が検索から除外される可能性があります。 ビルディング・ブロックを削除するか、別のルールで参照してください。
- ルールは、テスト・リストの末尾にないパフォーマンス集中型のテストを使用します。
- リストの末尾にない正規表現、ペイロード、カウンター、またはシーケンス・テストがルールに含まれているため、ルールのパフォーマンスが最適ではない可能性があります。 これらの定義がテスト・リストの末尾にあることを確認して、リスト内の他のすべてのテストが成功した場合にのみ実行されるようにしてください。
- リファレンス・セットのエレメントが多すぎる場合は、ルールのパフォーマンスが最適ではない可能性があります。
「構成」 ページで、数を超えた場合に検出結果をトリガーするリファレンス・セット・エレメントの数を設定します。 デフォルトは 5000 です。