ネットワーク階層の確認

ネットワーク階層を適切に定義して保守すると、フォールス・ポジティブ・オフェンスの生成を抑制できます。 ネットワーク階層は、ご使用のネットワークに属する IP アドレスとサブネットを定義するために使用します。 すべての内部アドレス・スペース (ルーティング可能とルーティング不能の両方) が IBM® QRadar® ネットワーク階層内で定義されていることを確認します。 これにより、 QRadar はローカル・ネットワークとリモート・ネットワークを区別できます。 イベントおよびフローのコンテキストは、送信元 IP と宛先 IP がローカルとリモートのどちらであるかが基準になります。 ルール・テストでは、イベントおよびフローのコンテキスト、およびネットワーク階層のデータが使用されます。

1. ナビゲーション・メニューから、 「ネットワーク階層」をクリックします。
2. オプション: チューニング・ビデオを視聴して、ネットワーク階層と最新の状態を維持する方法についての詳細を確認してください。
3. ネットワーク階層リストを確認して、ネットワーク階層のどの部分がまだ更新されていないかを調べます。
4. R2R (リモートからリモート) イベントがないか確認します。 レポートには、方向またはコンテキストが R2R であるイベントが明示されます。 イベントの方向が R2R である場合は、その送信元 IP と宛先 IP がどちらもリモートであり、ローカル・ネットワークには含まれません。 これはリモート・ネットワーク間に外部トラフィックが存在することを意味するため、ネットワーク階層の構成が誤っている可能性があります。
   1. イベントの IP の一方または両方がローカルであるかどうかを考慮に入れて、IP をネットワーク階層に追加します。
   2. レポートの 「送信元 IP」、 「送信元 IP」、 「宛先 IP」、および 「宛先会社」 の各列を使用して、ネットワークに対してローカルの IP を識別します。
   3. ローカル IP アドレスを識別した後、それらを 「管理」 タブの 「ネットワーク階層」 ページから追加するか、レポートで選択してアプリに追加します。
   4. 「管理」 タブで、 「変更のデプロイ」をクリックします。
5. ネットワーク階層を直接または間接的に使用するルールを調べます。 古いルールまたはビルディング・ブロックを確認して更新します。
   1. ルールを詳細に確認するには、リストから選択してダイアグラムでズームインします。 ルールと BB のアイコンをこのペインにドラッグします。
   2. ウィンドウの右側のペインで、 「リスト・ビュー」 をクリックしてから、フィルターに掛けられた BB とフィルターに掛けられていない BB を切り替えて、リストを微調整します。 「フィルターに掛けられた BB」では、選択されたルールの依存関係のうちネットワーク・テストのあるものが表示されます。 「すべての BB」では、選択されたルールで使用されるすべての BB が表示されます。
   3. 選択した BB の依存関係および依存関係を表示するには、 「依存関係ツリーの表示」 をクリックします。
      依存関係は、選択されたビルディング・ブロックで直接または間接的に参照されます。 依存関係を更新すると、ビルディング・ブロックが影響を受けます。 依存項目は、選択されたビルディング・ブロックを直接または間接的に参照します。 ビルディング・ブロックを更新すると、その依存項目が影響を受けます。