フォールス・ポジティブ・イベントによるオフェンスの作成のチューニング

フォールス・ポジティブのチューニング機能を使用して、フォールス・ポジティブのイベントでオフェンスが作成されないようにすることができます。

始める前に

フォールス・ポジティブのイベントは、「イベント・リスト (event list)」または「イベントの詳細 (event details)」ページからチューニングできます。

このタスクについて

フォールス・ポジティブのイベントは、「イベント・リスト (event list)」または「イベントの詳細 (event details)」ページからチューニングできます。

フォールス・ポジティブをチューニングするためにカスタマイズされたルールを作成するには、該当する許可が必要です。

役割について詳しくは、「 IBM QRadar 管理ガイド」を参照してください。

手順

  1. 「ログ・アクティビティー」 タブをクリックします。
  2. オプションです。 イベントをストリーム・モードで表示している場合は、「一時停止」アイコンをクリックしてストリーミングを一時停止します。
  3. チューニングするイベントを選択します。
  4. 「誤検出」をクリックします。
  5. 「フォールス・ポジティブ」 ウィンドウの「イベント/フロー・プロパティー」ペインで、以下のいずれかのオプションを選択します。
    • 特定の QID が「 <Event> 」のイベント/フロー
    • <Event> の下位カテゴリーを持つすべてのイベント/フロー
    • イベント /フローの概要が「 <Event> 」の任意のイベント/フロー
  6. 「トラフィックの方向」ペインで、以下のいずれかのオプションを選択します。
    • <Source IP Address> から <Destination IP Address>
    • <Source IP Address> から任意の宛先
    • 任意のソースから <Destination IP Address>
    • 任意の送信元から任意の宛先へ
  7. 「チューニング」をクリックします。