ケースを自動的に閉じる

対応するオフェンスがクローズされるたびに SOAR ケースを自動的にクローズするように、 IBM® QRadar® SOAR プラグイン・アプリケーションを設定できます。

このタスクについて

オフェンスがクローズされると、 IBM QRadar SOAR プラグイン 5.x コンテンツ・パックのコンテンツ・パックに含まれているルールを使用して、クローズ・メッセージがメッセージ・キューにポストされます。アプリケーションがクローズ・メッセージを検出すると、対応する SOAR ケースがクローズされます。

ケースを自動的に閉じるには、アプリケーションで SOAR 解決フィールドを構成する必要があります。

手順

QRadar コンソールに管理者としてログインします。
「管理」タブの IBM QRadar SOAR プラグイン」セクションで、「構成」をクリックします。
「設定」タブで、「オフェンスのクローズ時にケースをクローズする (Close Case when Offense close)」チェック・ボックスを選択します。
「クローズ時に必要な SOAR フィールドをマップ」セクションで、クローズ時に必要な各ケース・フィールドの値をマップします。

「解決の要約 (Resolution Summary)」には、テキスト・フィールドまたはオフェンス・フィールドを含めることができます。一部のフィールドは、閉じる必要がある場合があります。これらのフィールドは、 Jinja2 構文を使用してマップする必要があります。

例えば、「解決の要約」は QRadar Offense Status: {{offense.status}}のようになります。

Jinja2 構文について詳しくは、フィルター式を参照してください。