QRadar リファレンス・セットへのデータの追加

QRadar リファレンス・セットに SOARから直接データを追加できるように、 IBM® QRadar® SOAR プラグイン ・アプリケーションを構成できます。

リファレンス・セットを使用して、 SOARにとって価値のない QRadar オフェンス・データ (内部システムの IP アドレスなど) を追跡できます。 「無視された成果物 (Ignored Artifacts)」 機能とともに使用することで、この機能により、不要な成果物が SOAR ケースに組み込まれないようにします。

「複数組織サポート」 が有効になっている場合は、この機能を使用できません。

手順

  1. QRadar コンソール に管理者としてログインします。
  2. 「管理」 タブの IBM QRadar SOAR プラグイン」 セクションで、 「構成」をクリックします。
  3. 「設定」 タブで、 「SOAR からの参照項目の追加を有効にする」 チェック・ボックスをクリックします。
  4. SOARで使用可能にするリファレンス・セットを選択します。

    QRadar リファレンス・セットが 「リファレンス・セット」 リストに表示されます。

  5. 「エスカレーション」 タブの 「無視される成果物」の下で、成果物の作成を抑制するために使用するリファレンス・セットを指定します。

結果

リファレンス・セットは、 SOARで使用するために構成されています。

次に実行するタスク

SOARで、ケースを開きます。 「成果物」 タブの 「アクション」 メニューで、情報を追加するリファレンス・セットを選択します。

イメージは SOAR の「ケース成果物」タブを示しています。「アクション」メニューが展開され、リファレンス・セットに追加するオプションが表示されています。

データを追加するリファレンス・セットを選択します。

イメージは、 QRadar リファレンス・セットのドロップダウン・リストが表示された SOAR ウィンドウを示しています。
QRadar 管理者は、リファレンス・セットに追加された値を確認できます。
  1. 「管理」 タブの 「システム構成」 セクションで、 「リファレンス・セット管理」をクリックします。
  2. リファレンス・セットを選択し、 「内容の表示」をクリックします。

    リファレンス・セットの値が 「コンテンツ」 リストに表示されます。

    イメージは、 QRadarのリファレンス・セットの値を示しています。