ヒストリカル相関プロファイルの作成
カスタム・ルール・エンジン (CRE) を通じて過去のイベントおよびフローを再実行するには、ヒストリカル相関プロファイルを作成します。 プロファイルには、データ・セットに関する情報と、実行中に使用するルールが入ります。
制約事項: ヒストリカル・プロファイルは、 IBM
QRadar SIEMでのみ作成できます。 IBM
QRadar Log Managerでヒストリカル・プロファイルを作成することはできません。
始める前に
イベントとフローの両方の共通ルール・テスト・データ。 イベントとフローの両方を表示する権限を持っていなければ、共通ルールをプロファイルに追加することはできません。 イベントとフローの両方を表示する権限を持たないユーザーがプロファイルを編集すると、自動的に共通ルールがプロファイルから削除されます。
このタスクについて
開始時刻またはデバイス時刻のいずれかによって相関するようにプロファイルを構成することができます。 「開始時刻」は、イベントがイベント・コレクターに到着した時刻です。 デバイス時刻は、デバイスでイベントが発生した時刻です。 イベントは開始時刻またはデバイス時刻により相関付けを行うことができます。 フローは開始時刻でのみ相関付けを行うことができます。
無効なルールをプロファイルに含めることができます。 無効になっているルールには、ルール・リストでルール名の後に「(無効)」と表示されています。
ヒストリカル相関の実行は、リアルタイムのオフェンスには反映されず、同じプロファイルを使用されている場合でも、前のヒストリカル相関の実行から作成されたオフェンスには反映されません。
重要: 多数のルールが割り当てられたヒストリカル相関プロファイルを作成しすぎると、オフェンスのロードが遅くなる可能性があります。 オフェンスのロードが遅い場合は、不要なプロファイルを削除するか、より少ないルールを持つように編集することができます。