オフェンスを生成するアクティブなルールのチューニング

最もノイズが多いルールをチューニングすると、フォールス・ポジティブの削減に大きな効果があります。 IBM® QRadar® のオフェンスを調査するには、オフェンスを作成したルールを表示する必要があります。

このタスクについて

適用されないフィルター・タグがフィルター行に表示され、背景が明るい色になっています。 それらのフィルターを適用すると、タグの背景色が濃い色に変わります。

手順

  1. QRadar Use Case Manager のメインメニューから、 「アクティブ・ルール」をクリックします。
  2. アクティブなルールにフィルターを適用して、調査を微調整します。
    1. カレンダーまたは時間フレームによるオフェンスに寄与するために開始されたルールをフィルターに掛けます。 デフォルトの日付は、過去 3 日の日付です。 時間フレームを変更するか、特定の日時の間にオフェンスに寄与し始めたルールをフィルターに掛けることを選択します。
    2. 非表示のオフェンスやクローズされたオフェンスなど、オフェンスを結果から除外するためのパラメーターを選択します。 フォローアップ対象としてのマークが付けられたオフェンスは、さらなる調査のためにフラグを立てられます。 保存期間に関係なく、保持する必要があるオフェンスがある場合があります。それらのオフェンスは、保存期間が経過した後に QRadar から削除されないように保護されます。 レポートが乱雑にならないように、非アクティブなオフェンスを可視化から削除できます。
    3. オフェンスのクローズの理由を選択します。 例えば、フィルタリングにより、フォールス・ポジティブとしてクローズされたオフェンスを生成したルールを確認できます。 フォールス・ポジティブが多数あるルールは、おそらく、チューニングが必要です。 「問題なし」としてクローズされたオフェンスは通常、組織にとって重要ではないと見なされます。
    4. 「フィルターの適用」をクリックします。
  3. 「ルール別のオフェンス」、 「カテゴリーおよびルール別のオフェンス」、 「理由およびルール別のクローズされたオフェンス」、 「ルール別のイベント・カウント・トレンド」、および 「ルール別のオフェンス作成トレンド」 のグラフを確認します。
    ヒント: 「ルール別のオフェンス作成傾向」 グラフは、 QRadar 7.4.1 フィックスパック 2 以降でサポートされています。
    1. オフェンスに関する詳細を表示するには、グラフのセグメントの上にポインターを置きます。
    2. チャートの凡例を非表示または表示します。
    3. 凡例キーをクリックして、チャート表示を微調整します。
    4. さらに調査するには、ズームインします。
    5. 棒グラフと時系列グラフをフルスクリーンに展開します。
    6. 棒グラフおよび時系列グラフを CSV、PNG、または JPG の形式にエクスポートします。
    7. 棒グラフと時系列グラフのデータを表形式で表示します。 その後、データをオフラインで表示したり同僚と共有したりするために、CSV 形式でエクスポートします。
  4. 表で、以下のいずれかの方法を選択してルールを調整します。
    1. リストで、ノイズが多い上位のルールとすべてのルールを切り替えます。
    2. ルールのグループまたは個々のルールをリストから選択して、調査するルールをさらに追加します。
      ヒント: レポートの 「イベント数」 列には、 「オフェンス数」 列でカウントされたオフェンスにルールが関連付けたイベントの数が示されます。 「イベント・カウント」 列は、 QRadar 7.4.1 フィックスパック 2 以降でサポートされています。
  5. 「調査」をクリックします。
    1. ルール・ウィザードの使用方法を説明する短いビデオを視聴します。
    2. 個々のルールと、アクティブなルールに関与している BB を確認します。 各ルールを詳しく調査するには、「依存関係ツリーの表示 (Show dependency tree)」または「ルール・ウィザードで編集 (Edit in rule wizard)」をクリックします。
    3. 可視化ダイアグラムを使用して、ログ・ソース・タイプ、カスタム・プロパティー、またはリファレンス・セットなど、ルールやビルディング・ブロックの任意の関連オプションをさらに微調整します。
    4. 個々のアクティブなルールで生成されるオフェンスを確認します。
    5. さまざまなテスト・グループの値を確認し、必要に応じてチューニングします。
    6. ルールの MITRE ATT&CK マッピングを確認し、必要に応じて編集します。
    7. 選択したルールまたはビルディング・ブロックにカスタム・ルール属性を追加するには、 QRadar ルールおよびビルディング・ブロックの調査のステップ 10 を参照してください。
    8. QRadar User Behavior Analytics ルールを調査するには、 ユーザー行動分析ルールの調査を参照してください。
    9. 「アクティブ・ルール」 ページに戻るには、パンくずリストで 「アクティブ・ルール」 をクリックします。
  6. レポート内の選択したルールデータを、 CSV 形式でエクスポートするには、該当するチェックボックスを選択し、 [エクスポート] をクリックします。これにより、Excelでさらに処理したり表示したりできます。