CRE イベントを生成するアクティブなルールのチューニング

カスタム・ルール・エンジン (CRE) イベント・レポートには、CRE イベントを生成するアクティブなルールが表示されます。 多くの場合、ルールの応答は CRE イベントをオフェンスとともに、またはオフェンスなしで生成するように構成されます。 レポートには、どのルールでどの CRE イベントが最も多く生成されたかが示されます。 一般に、イベントが 1 日に何度も生成される場合は、ルールが過剰に起動されています。 この場合は、ルールのチューニングを検討します。 例えば、レポートの送信元 IP の 1 つか 2 つが、ルールで生成されるすべての CRE イベントに関連している場合があります。 この送信元 IP は、ルールで参照されるホスト定義 BB のいずれかに追加することが必要な場合もあります。 ルールを選択し、「調査」をクリックして更新すべきホスト定義を確認します。

このタスクについて

このレポートを使用してルールをテストすることもできます。 この場合、ルールの応答では CRE イベントのディスパッチのみが行われ、オフェンスは作成されません。 過剰に起動されるルールがレポートに示されている場合は、そのルールのチューニングを検討します。 CRE イベントを使用してルールをテストする場合に、CRE イベントが 1 週間に数個しか生成されない場合は、オフェンスを生成するようにルールの応答を変更してください。

適用されないフィルター・タグがフィルター行に表示され、背景が明るい色になっています。 それらのフィルターを適用すると、タグの背景色が濃い色に変わります。

手順

  1. メインメニューから、 「CRE レポート」をクリックします。
  2. カレンダーまたは時間フレームに従ってルールをフィルタリングします。 デフォルトの日付は、過去 3 日の日付です。 時間フレームを変更するか、特定の日時の間にオフェンスに寄与し始めたルールをフィルターに掛けることを選択します。
  3. 返す結果の数を選択し、 「フィルターの適用」をクリックします。
  4. 「CRE events by rule」 レポートと 「CRE events by category and rule」 レポートを確認します。
    1. オフェンスに関する詳細を表示するには、グラフのセグメントの上にポインターを置きます。
    2. チャートの凡例を非表示または表示します。
    3. 「CRE events by rule」 レポートの凡例キーをクリックして、グラフ表示を微調整します。
    4. さらに調査するには、ズームインします。
    5. 「CRE イベント (カテゴリーおよびルール別)」 グラフをフルスクリーンに展開します。
    6. CREイベントをカテゴリ別およびルールチャート別に CSV、PNG、またはJPG形式でエクスポートします。
    7. 「CRE イベント (カテゴリーおよびルール別)」 グラフ・データを表形式で表示します。 その後、データをオフラインで表示したり同僚と共有したりするために、CSV 形式でエクスポートします。
  5. 以下のいずれかの方法を選択してルールをチューニングします。
    1. リストで、ノイズが多い上位のルールとすべてのルールを切り替えます。
    2. ルールのグループまたは個々のルールをリストから選択して、調査する別のルールを追加します。
  6. 「調査」をクリックします。
    1. 個々のルールと、CRE イベントに関与している BB を確認します。 各ルールを詳しく調査するには、「依存関係ツリーの表示 (Show dependency tree)」または「ルール・ウィザードで編集 (Edit in rule wizard)」をクリックします。
    2. 可視化ダイアグラムを使用して、ログ・ソース・タイプ、カスタム・プロパティー、またはリファレンス・セットなど、ルールやビルディング・ブロックの任意の関連オプションをさらに微調整します。
    3. 現在選択しているルールで生成されるイベントを確認します。
    4. QRadar®からルールを即時に最新表示するには、 「最新表示」 アイコンをクリックします。 これを行わない場合は、アプリケーションで 15 分ごとにコンソールのデータが自動更新されます。
    5. テストのしきい値を確認し、必要に応じてチューニングします。
    6. さまざまなテスト・グループの値を確認し、必要に応じてチューニングします。
    7. ルールの MITRE ATT&CK マッピングを確認し、必要に応じて編集します。
    8. 選択したルールまたはビルディング・ブロックにカスタム・ルール属性を追加するには、 QRadar ルールおよびビルディング・ブロックの調査のステップ 9 を参照してください。
    9. QRadar User Behavior Analytics ルールを調査するには、 ユーザー行動分析ルールの調査を参照してください。
    10. 「CRE イベント」 ページに戻るには、パンくずリストで 「CRE レポート」 をクリックします。
  7. レポート内の選択したルールデータを CSV 形式でエクスポートし、Excelで処理または表示するには、該当するチェックボックスを選択し、 [エクスポート] をクリックします。