QRadar Advisor with Watson アプリの使用開始
IBM® QRadar® 製品の機能が正しく動作するようにするには、表を確認して QRadar のデプロイメントを改善してください。
以下の表に、 QRadar Advisor with Watson 調査の品質を向上させるためにチューニングを検討する必要がある項目のリストを示します。
| 問題 | 解決方法 |
|---|---|
| Advisor は QRadar の正規化に依存します。 | QRadar Advisor with Watson アプリケーションは、イベントおよびフローからデータをマイニングするときに、 QRadar 標準プロパティーおよびカスタム・プロパティーを使用します。 重要な観察事項がペイロードに含まれている場合は、それらがカスタム・プロパティーに抽出されていることを確認してから、 QRadar Advisor with Watson アプリケーションでそれらのプロパティーをマップする必要があります。 |
| 機能しないカスタム・プロパティーは問題を発生させます。 | カスタム・プロパティーが、ログ・ソース内のすべてのイベント・タイプに対して正しく機能することを確認してください。 例えば、ファイル・ハッシュ・カスタム・プロパティーが一部のイベントについては誤ったデータを取得し、その他のイベントについては機能する場合、 QRadar Advisor with Watson アプリケーションでの調査結果の品質が低下する可能性があります。 |
| Advisor はカスタム・マッピングを必要とします。 | QRadar Advisor with Watson アプリケーションは、アプリケーションのデフォルト・カスタム・プロパティーを超えるマッピングを必要とします。 インストール後にデフォルト・マッピングのみを使用した場合、 QRadar Advisor with Watson 分析でローカル・コンテキストのかなりの部分が欠落する可能性があります。 QRadar Advisor with Watson マッピングを増やす必要があります。 |
| QRadar システム内でネットワーク階層を定義し、更新してください。 | QRadar Advisor with Watson アプリは、どの IP アドレスがローカルで、どの IP アドレスがローカル・ネットワークの一部ではないかを認識する必要があります。 サブネットを追加するなど、ネットワークを変更した場合は、QRadar ネットワーク階層が引き続き正しいことを確認してください。 |
| QRadar アセット・プロファイルでアセット重要度を定義してください。 | QRadar Advisor with Watson アプリケーションは、 QRadarのアセット・プロファイルからのアセットの重みを使用します。 QRadar アセット・プロファイル内のアセットの重みが正確であることを確認します。 |
| CRE ルールの正確度が Advisor に影響します。 | CRE ルールが誤作動すると、QRadar Advisor with Watson アプリケーションの MITRE ATT &CK の正確度に影響します。 さらに、誤起動してオフェンスを作成するルールは、 QRadar Advisor with Watson アプリケーションで問題を引き起こす可能性があります。 ルールは定期的にレビューしてチューニングしてください。 |
| Advisor はホスト定義のビルディング・ブロック (BB:HostDefinition) を使用します。 | QRadar Advisor with Watson アプリケーション、MITRE ATT & CK マッピング、および CRE ルールは、DNS サーバーや DHCP サーバーなどの特定の機能を提供するホストに依存し、 QRadar ビルディング・ブロックで正確に定義されています。 ビルディング・ブロックの確認 |
| ユーザー情報を表示するには、UBA アプリをインストールして構成します。 | User Behavior Analytics アプリがインストールされている場合、QRadar Advisor with Watson は UBA リファレンス・セットと UBA リスク・スコアを使用します。 QRadar Advisor with Watson アプリと UBA アプリの両方がインストールされている場合は、ユーザー固有の調査を開始できます。 |
| QRadar システム警告が原因で問題が発生します。 | QRadar Advisor with Watson アプリケーションをインストールする前に、 QRadar システム警告に注意して修正してください。 アプリケーションの正しい機能を妨げる可能性があります。 |
| QRadar パッチ・インストールは、 QRadar Advisor with Watson インストールと組み合わせて使用しないでください。 | QRadar Advisor with Watson パッチ・インストールと QRadar Advisor with Watson インストールを同時に結合しないでください。 これにより、 QRadar Advisor with Watson での問題のデバッグがより困難になります。 QRadar パッチ更新を完了し、新しいパッチ・レベルでしばらく使用して良好に機能することを確認してから、QRadar Advisor with Watson アプリケーションをインストールまたはアップグレードしてください。 |
| Advisor は、 QRadar オフェンスのクローズ理由を使用します。 | ワークフローにとって意味のあるクローズ理由 (「インシデント対応にエスカレート」や「CRE ルールのチューニングが必要」など) をいくつか追加し、オフェンスをクローズするすべての QRadar ユーザーおよびスクリプトが、オフェンスのクローズ時に適切な QRadar クローズ理由を選択するようにすることを検討してください。 |
| Advisor は、アンチウィルスのカスタム・プロパティーの適切なリファレンス・セットの値に依存します。 | QRadar Advisor with Watson アプリケーションのアンチウィルス・ブロックおよび実行グラフの強調表示は、アンチウィルス・カスタム・プロパティーからの適切なリファレンス・セット値によって異なります。 |