QRadar Network Threat Analytics イベント

IBM® QRadar® Network Threat Analytics の検出結果は、3 つの異なるタイプのイベントを生成できます。 これらのイベントを使用して、ルールを作成したり、検索やレポートを作成したりすることができます。

各イベント・タイプの違いを理解することは、さらに調査が必要なイベントを判別するのに役立ちます。

ネットワーク異常が観測されました

このタイプのイベントは、潜在的なネットワーク異常が検出された後にアプリケーションが新しい検出結果を作成すると生成されます。

行動が本当に異常であるかどうかを判別するには、さらなる分析が必要です。

ネットワーク異常が検出されました

さらに分析を行った後、検出された異常は、検出結果が真の異常であり、以前は確認されていなかった正常な動作ではないことをアプリケーションが確認すると、検出された異常になります。

動作が正常であるが、以前は認識されていないと判断された場合、その動作は、スケジュールされている次の更新の一部としてネットワーク・ベースラインに追加されます。

ネットワーク異常の更新

時間の経過とともにより多くのトラフィックが分析されると、検出結果が進行中であることを示す更新イベントが作成されます。

このアプリケーションは、以下の 3 つのタイプの更新イベントを作成します。

• 「ネットワーク異常の更新 (継続中のアクティビティー)」 は、新規通信が既存の検出結果に追加されたか、既に検出結果の一部になっている既存の通信に新規フロー・レコードが追加されたことを示します。
• ネットワーク異常の更新 (スコアの変更) は、より多くのトラフィックが分析されたために検出結果スコアが増加したことを示します。
• Network Anomaly Update (MITRE マッピング) は、検出結果が新しい疑わしい MITRE ATT & CK 技法で更新されたことを示します。