QRadar Network Threat Analytics アプリケーションの構成

IBM® QRadar® Network Threat Analytics アプリケーションをインストールした後、 QRadarでの認証に使用する許可サービス・トークンを追加するように構成する必要があります。

QRadar Network Threat Analytics アプリケーションが許可サービス・トークンを使用して構成された直後に、ベースライン・プロセスが開始されます。このアプリは、既存のすべてのフロー・データをレビューし、将来のすべてのフロー・レコードを比較するネットワーク・ベースラインを作成します。デプロイメントに多数のフロー・レコードがある場合、ベースラインは、通常ネットワーク上で監視されるフロー・トラフィックのタイプをより代表するものになります。

重要: ネットワーク・ベースラインの作成にかかる時間は、ネットワーク・データのボリュームと複雑さ、および QRadar インスタンスのパフォーマンスによって異なります。アプリの「構成」ページのネットワーク・ベースライン状況インディケーターは、進行状況を概算します。完了するまでに長時間かかる可能性があります。

始める前に

管理者としてログインする必要があります。

「管理」セキュリティー・プロファイルとユーザー・ロールを使用して構成された QRadar セキュリティー・トークンが必要です。詳しくは、許可サービス・トークンの作成を参照してください。

QRadar デプロイメントに少なくとも 1 週間分の連続フロー・データがあることを確認します。

手順

「ネットワーク脅威分析」タブをクリックします。
「アプリケーションが構成されていません」ウィンドウで、「管理」 > 「ネットワーク脅威分析」 > 「設定」をクリックします。

リンクが表示されない場合は、管理者特権でログインしていることを確認してください。
「許可サービス・トークン」フィールドに、 QRadar トークンを指定します。

オプション: 残りのアプリケーション設定を構成します。

設定	説明
デフォルトの時間フレーム	最初にロードするときにアプリケーションに対して設定される時間フレームを参照します。ネットワーク内のトラフィックの量に応じて、プルバックするトラフィックの量に合わせてこの設定を構成することができます。
デフォルトのネットワーク・データ・タブ	1.2.0 「ネットワーク・データ」ページを最初に開いたときに表示されるビューを選択します。
不明な座標のデフォルトの緯度	1.2.0 「不明なロケーション」に分類されるトラフィックの緯度ロケーションを設定します。定義されたネットワーク階層内に収まらないすべてのネットワーク・トラフィック、または既知の地理位置情報を持たない IP アドレスを持つトラフィックは、グループ化されます。マップ・ビューでは、不明なトラフィックは共通の場所から発生しているように見えます。
不明な座標のデフォルト経度	1.2.0 「不明なロケーション」として分類されるトラフィックの縦方向のロケーションを設定します。
イベント生成スコア	検出結果がイベントを作成するために必要な最小スコアを設定します。このスコアを変更して、システム上の最も高いスコアの検出結果に対してのみイベントが生成されるようにすることができます。
保存の検出	検出結果を保管する日数を設定します。

「実行」をクリックします。

結果

許可サービス・トークンが適用され、ベースライン・プロセスが開始されます。 QRadar Network Threat Analytics は、ベースライン・プロセス中に開いたままにする必要はありません。

構成変更を送信するたびに、ベースラインの状況が「状況の取得中」に一時的に変更されます。このメッセージは、ベースラインが影響を受けない場合でも、構成変更をサブミットするたびに表示されます。

次に実行するタスク

ベースライン・プロセスが完了するまで、検出結果はホーム・ページに表示されません。この間、製品インターフェースを使用してフローを探索できます。最初のベースラインが完了すると、ネットワーク・ベースラインが更新中であっても、そのベースラインに対してスコアリングされた検出結果と新規フローを探索できます。

必要に応じて、ベースライン・プロセスの進行中にアプリを安全にアンインストールできます。ネットワーク・ベースラインは保持されません。アプリケーションを再インストールすると、プロセスが再度開始されます。