オフェンスの自動クローズ

IBM® QRadar® SOAR プラグイン ・アプリケーションは、 SOAR ケースがクローズされるたびに、自動アクションを使用して QRadar に通知します。 対応するオフェンスをクローズするようにアクションを構成することもできます。

このタスクについて

オフェンスがクローズされると、クローズ理由が提供されます。 ケースの解決が QRadarのクローズ理由と一致する場合は、その理由が使用されます。 解決策が QRadarにクローズ理由として存在しない場合、オフェンスのクローズ理由はデフォルトで 「ポリシー違反」になります。

理想的には、 QRadar の 「カスタム・オフェンスのクローズ理由」 と SOAR の 「解決値」 が一致します。 QRadar のクローズ理由の構成について詳しくは、 カスタム・オフェンスのクローズ理由を参照してください。

アプリケーションを構成すると、対応する QRadar のクローズ理由がない SOAR 解決値について警告が出されます。

1. QRadar コンソール に管理者としてログインします。
2. 「管理」 タブの IBM QRadar SOAR プラグイン」 セクションで、 「構成」をクリックします。
3. 「設定」 タブで、 「ケースのクローズ時にオフェンスをクローズ (Close Offense when Case close)」 チェック・ボックスを選択します。
4. ケースを閉じるために必要な 「SOAR」 解決フィールドを選択します。

結果

オフェンスがクローズされると、ケースをクローズした SOAR ユーザー、解決 ID、および解決の要約を示すメモがそのオフェンスに追加されます。