チューニング検出結果の調査

場合によっては、ルールまたはビルディング・ブロックが正しく定義されていないことがあります。 チューニング検出レポートを使用して、より堅固な情報を得るためにルールまたはビルディング・ブロックを編集する必要があるかどうか、またはルールが設計どおりに機能しているかどうかを調査します。 次に、検出結果が関連していない場合 (例えば、ルールをそのように設定した場合)、またはフォールス・ポジティブである場合に、検出結果を非表示にすることができます。

このタスクについて

IBM® QRadar® Use Case Manager は、以下の検出結果を検出し、それらをレポートに表示します。
無効なカスタム・プロパティー
このルールは、無効なカスタム・プロパティーを参照しています。 カスタム・プロパティー式にパフォーマンス上の問題がある場合、そのカスタム・プロパティー式は無効になります。 このプロパティーを使用し、無効になっている式に依存してプロパティーに値を取り込むルール、レポート、または検索は、正しく機能しなくなります。
無効な依存関係
ルールを無効にすると、すべてのデータが検出されなくなり、ルール依存チェーンの残りの部分が適切にトリガーされなくなります。
空のリファレンス・セット
リファレンス・セットには、検索、フィルター、ルール・テスト条件、およびルール応答で使用できる固有値が含まれています。 空のリファレンス・セットには、ルールを適切にトリガーするための基準がありません。
ホスト定義はデフォルト IP 値のみを使用します
ルールにリンクされるホスト定義はデフォルト値であってはなりません。そうしないと、着信ログではデフォルト値ではない IP アドレスとホスト情報 (127.0.0.1) が使用されるため、ルールは機能しません。
ホスト定義は宛先 IP のデフォルト値のみを使用します
規則にリンクされる宛先 IP は、デフォルト IP であってはなりません。 コンテンツ・パックの更新によってルール内のいずれかの IP アドレスが変更された場合、一部の従属ルールが機能しない可能性があります。 BB の 「ホスト定義」 ページに移動して、各従属項目を確認します。
ホスト定義はソース IP のデフォルト値のみを使用します
規則にリンクされるソース IP は、デフォルト IP であってはなりません。 コンテンツ・パックの更新によってルール内のいずれかの IP アドレスが変更された場合、一部の従属ルールが機能しない可能性があります。 BB の 「ホスト定義」 ページに移動して、各従属項目を確認します。
元のシステム・ルールが無い
ルールにはオーバーライド起点がありますが、リンクされた元のシステム・ルールがありません。これは、システム・ルールが誤って削除された場合に発生する可能性があります。 QRadar Use Case Manager はルールを開くことができません。
孤立したビルディング・ブロック
ビルディング・ブロックに従属がありません。 ビルディング・ブロックは、よく使用されるテストをグループ化し、組織に関する重要な情報を含むことができます。 例えば、ネットワーク内のすべてのメール・サーバーの IP アドレスを含むビルディング・ブロックを作成し、そのビルディング・ブロックを別のルールで使用して、それらのホストを除外することができます。 孤立した BB はどのルールによっても参照されないため、重要な情報が検索から除外される可能性があります。 ビルディング・ブロックを削除するか、別のルールで参照してください。
ルールは、テスト・リストの末尾にないパフォーマンス集中型のテストを使用します。
リストの末尾にない正規表現、ペイロード、カウンター、またはシーケンス・テストがルールに含まれているため、ルールのパフォーマンスが最適ではない可能性があります。 これらの定義がテスト・リストの末尾にあることを確認して、リスト内の他のすべてのテストが成功した場合にのみ実行されるようにしてください。
リファレンス・セットのエレメントが多すぎる場合は、ルールのパフォーマンスが最適ではない可能性があります。

「構成」 ページで、数を超えた場合に検出結果をトリガーするリファレンス・セット・エレメントの数を設定します。 デフォルトは 5000 です。

手順

  1. QRadar Use Case Manager のメインメニューから、 「検索レポートのチューニング」をクリックします。
  2. IBM QRadarから更新されたルール検出結果をスキャンするには、 「検出結果レポートの更新」 アイコンをクリックします。 レポートの更新には数分かかる場合があります。
    ヒント: スキャン結果は夜間に自動的に更新されます。 変更を行い、 QRadar Use Case Managerでルールが正しく更新されたことを確認する場合は、ルールを手動で更新します。
  3. 「チューニング検出結果」 列をソートして、類似した検出結果タイプをまとめて調査します。
  4. レポート内の検出結果を非表示にするには、該当する検出結果のチェック・ボックスを選択して、 「検出結果の非表示」をクリックします。
    選択したチューニング検出結果には、非表示のフラグが立てられます。 検出結果を非表示にすると、他のレポートからその検出結果にアクセスしたときに、ルールのルール詳細にチューニング検出結果が表示されません。 規則の警告アイコンは、規則が表示される可能性がある他のレポートでも非表示になります。
  5. 選択した検出結果を表示または非表示にして、ビューを微調整します。
    「非表示の検出結果の表示」 をクリックして、レポート内のすべての検出結果を表示します。
  6. レポートに常に表示されるように、検出結果から非表示のフラグをクリアするには、 「非表示の検出結果の表示」をクリックします。 該当する検出結果のチェック・ボックスを選択して、 「非表示フラグの削除」をクリックします。
    非表示の検出結果が更新され、レポートに表示されます。
  7. 「ルールの詳細」 ページで、ルール名をクリックしてさらに調査し、必要に応じて編集します。 完全な詳細は、 「検出結果のチューニング」 セクションに表示されます。
    1. 変更するには、 「ルール・ウィザードで編集」 をクリックします。 例えば、ルールが有効になっているが、その依存関係ツリー内のルールが無効になっている場合は、ルール・ウィザードでルールを有効にすることができます。
    2. 検出結果を選択し、 「検出結果の非表示」をクリックします。
    3. 検出結果のチューニング 」レポートで、「更新」アイコンをクリックしてレポート表示を更新します。
  8. 変更を行った後、レポートを更新して、変更が実装されていることを確認します。