索引付けのベスト・プラクティス

パフォーマンスを改善するために、分析するオフェンスのタイプに基づき、特定の索引を有効化することができます。

QRadar® Advisor with Watson アプリは、 QRadarで検索を実行します。 QRadar の検索では、システムの残りの部分への影響を限定的に迅速に完了するために索引が必要です。 索引を使用しない場合は、以下のような結果になる可能性があります。

  • 検索の実行頻度が低いため、 QRadar メッセージ・インターフェースでの SAR 標識警告メッセージの頻度が高くなりました。
  • 分析は完了するが、ローカルの観察事項 がまったく、またはわずかしか検出されない (ステージ 1 のグラフ)。
索引は、分析対象とするすべてのオフェンス・タイプに対して有効化する必要があります。 一部のオフェンス・タイプの索引は、デフォルトでは有効化されません。
注: オフェンスの索引付けに使用されるすべてのカスタム・プロパティーを最適化して有効にしてください。 最適化されていないプロパティーを使用すると、パフォーマンスに悪影響を及ぼす可能性があります。
表 1. 特定のオフェンス・タイプの索引付け
オフェンスのタイプ AQL フィールド 索引付けするプロパティー デフォルトで有効
すべてのカスタム・タイプ (カスタム) (カスタム) いいえ
ルール creEventList カスタム・ルール イベントのみ
宛先 IPv6 destinationv6 IPv6 宛先 いいえ
送信元 IPv6 sourcev6 IPv6 送信元 いいえ
宛先ポート destinationPort 宛先ポート はい
送信元ポート sourcePort 送信元ポート いいえ
イベント名 qid イベント名 イベントのみ
宛先 IP destinationIP 宛先 IP はい
送信元 IP sourceIP 送信元 IP はい
ホスト名 identityHostName ID ホスト名 (Identity Host Name) いいえ
ログ・ソース logSourceId ログ・ソース はい
宛先 MAC アドレス destinationMAC 宛先 MAC いいえ
送信元 MAC アドレス sourceMAC 送信元 MAC いいえ
ユーザー名 userName ユーザー名 はい
アプリケーション・アイデンティティー applicationId アプリケーション はい
宛先 ASN destinationASN 宛先 ASN いいえ
送信元 ASN sourceASN 送信元 ASN いいえ
注: インデックスを有効にしても、過去のデータには影響しません。 過去のデータに索引付けを行うときは、IBM お客様サポートの支援を要請してください。

QRadarでの索引付けについて詳しくは、技術情報 https://www.ibm.com/support/docview.wss?uid=swg21689802を参照してください。