ケース・マッピング・ツールを使用したテンプレートの作成

Case Mapping Tool を使用して、 QRadar オフェンス・フィールドを SOAR ケース・フィールドにマップする方法を IBM® QRadar® SOAR プラグイン・アプリケーションに通知するカスタマイズ・テンプレートを作成します。

始める前に

Jinja2 テンプレート言語を使用してフィルター式を作成する方法を知っている必要があります。詳しくは、フィルター式を参照してください。

手順

QRadar 「管理」タブの IBM QRadar SOAR プラグイン」セクションで、「構成」をクリックします。
「エスカレーション」タブをクリックし、「新規テンプレートの作成」をクリックします。

テンプレートの作成に使用できるフィールドのリストは、 SOARから自動的に取得されます。
「テンプレート名」フィールドに、テンプレートの記述名を入力します。
マップするフィールドごとに、 Jinja2 フィルター式を入力します。

フィールドの横にある赤いアスタリスクは、そのフィールドが必須であることを示します。

ヒント: フィールドの横に表示される最新表示アイコンは、オフェンスが更新されるたびにフィールドが更新されることを示します。フィールドを最新表示しない場合は、最新表示アイコンをクリックしてロックします。
「成果物の生成」セクションで、成果物を自動的に作成するオフェンス・フィールドを選択します。
1. 含めるオフェンス・フィールドのタイプごとにチェック・ボックスを選択します。
2. アーティファクトの作成から特定のアドレスを除外する場合は、オフェンス・データのタイプごとに「無視リストの適用」チェック・ボックスを選択します。
  
  無視するアドレスは、リファレンス・セットの一部でなければなりません。
  
  ヒント: 無視するリファレンス・セットの名前は、「エスカレーション」タブで指定します。
「追加の成果物の作成」セクションで、成果物を作成するための独自の定義を追加します。

成果物を作成するために使用できるのは、正規化されたオフェンス・フィールドのみです。
「テスト・テンプレート」をクリックします。
1. フィールド・マッピングのみを検証するには、「レンダリング・テストのみ」を選択します。
2. 「インシデントのレンダリングとシミュレーションの送信」を選択して、フィールド・マッピングを検証し、シミュレートされたケースを SOAR プラットフォームに送信します。
  
  重要: シミュレートされるケースを作成するには、 SOAR ユーザー・ロールまたは API キーに、 SOAR 管理設定で指定されたシミュレーション権限がなければなりません。
「テンプレートの保存」をクリックします。
テンプレート・ファイルは、定義した名前とフィールド・マッピング定義に基づいて生成されます。