スケジュール済み検索

「スケジュール済み検索」オプションを使用して、検索をスケジュールして結果を表示します。

日中または夜間の特定の時間に実行する検索をスケジュールできます。夜間に実行する検索をスケジュールした場合、朝に調査できます。レポートとは異なり、検索結果をグループ化してさらに調査するオプションがあります。ネットワーク・グループ内の失敗したログインの数を検索できます。通常の結果は 10 であり、検索の結果が 100 の場合は、検索結果をグループ化して調査を容易にすることができます。ログインに最も失敗しているユーザーを確認するために、ユーザー名でグループ化できます。さらに調査を続行できます。

「レポート」タブから、イベントまたはフローの検索をスケジュールできます。スケジューリングでは、事前に保存済みの検索条件のセットを選択する必要があります。

レポートの作成
「レポート・ウィザード」ウィンドウで以下の情報を指定します。
- グラフ・タイプは「イベント/ログ」または「フロー」です。
- このレポートは保存済み検索に基づいています。
  注: QRadar では、副選択ステートメントを含む AQL 検索に基づくレポートはサポートされません。
- オフェンスを作成します。
  「個別のオフェンスの作成」オプションまたは「既存のオフェンスに結果を追加」オプションを選択できます。
  
  手動検索を生成することもできます。
検索結果の表示

「オフェンス」タブからスケジュール済み検索の結果を表示できます。

スケジュール済み検索のオフェンスは「オフェンスのタイプ」列によって識別されます。
個別のオフェンスを作成する場合、レポートが実行される度にオフェンスが生成されます。既存のオフェンスに保存済み検索結果を追加する場合、レポートの初回実行時にオフェンスが作成されます。後続のレポート実行はこのオフェンスに追加されます。結果が返されない場合は、システムによってオフェンスが追加されることも作成されることもありません。
「オフェンスのサマリー」ウィンドウに最新の検索結果を表示するには、オフェンス・リスト内のスケジュール済み検索のオフェンスをダブルクリックします。すべてのスケジュール済み検索実行のリストを表示するには、「最後の 5 件の検索結果」ペインの「検索結果」をクリックします。

スケジュール済み検索のオフェンスをユーザーに割り当てることができます。