QRadar Advisor with Watson 앱 시작하기
IBM® QRadar® 제품의 기능이 올바르게 작동하도록 하려면 표를 검토하여 QRadar 배치를 개선하십시오.
다음 표에는 QRadar Advisor with Watson 조사의 품질을 향상시키기 위해 튜닝을 고려해야 하는 항목 목록이 포함되어 있습니다.
| 문제 | 조치 |
|---|---|
| Advisor는 QRadar 정규화에 따라 달라집니다. | QRadar Advisor with Watson 앱은 이벤트 및 플로우에서 데이터를 마이닝할 때 QRadar 표준 특성 및 사용자 정의 특성을 사용합니다. 중요한 관찰 가능 항목이 페이로드에 있는 경우 해당 항목이 사용자 정의 특성으로 추출되는지 확인한 후 QRadar Advisor with Watson 앱에서 해당 특성을 맵핑해야 합니다. |
| 작동하지 않는 사용자 정의로 인해 문제가 발생합니다. | 로그 소스의 모든 이벤트 유형에 대해 사용자 정의 특성이 제대로 작동하는지 확인하십시오. 예를 들어, 파일 해시 사용자 정의 특성이 일부 이벤트에 대해 올바르지 않은 데이터를 가져오고 다른 이벤트에 대해 작동하는 경우 QRadar Advisor with Watson 앱에서 조사 결과의 품질이 저하될 수 있습니다. |
| Advisor에는 사용자 정의 맵핑이 필요합니다. | QRadar Advisor with Watson 앱에는 앱의 기본 사용자 정의 특성 이외의 맵핑이 필요합니다. 설치 후에 기본 맵핑만 사용한 경우 QRadar Advisor with Watson 분석에서 로컬 컨텍스트의 중요한 부분이 누락될 수 있습니다. QRadar Advisor with Watson 맵핑을 늘려야 합니다. |
| QRadar 시스템에서 네트워크 계층 구조를 정의하고 업데이트하십시오. | QRadar Advisor with Watson 앱은 로컬인 IP 주소와 로컬 네트워크의 일부가 아닌 IP 주소를 알아야 합니다. 예를 들어 서브넷을 추가하여 네트워크가 변경된 경우 QRadar 네트워크 계층 구조가 여전히 정확한지 확인하십시오. |
| QRadar 자산 프로파일에서 자산 가중치를 정의하십시오. | QRadar Advisor with Watson 앱은 QRadar에 있는 자산 프로파일의 자산 가중치를 사용합니다. QRadar 자산 프로파일의 자산 가중치가 정확한지 확인하십시오. |
| CRE 룰 정확도가 Advisor에 영향을 미칩니다. | CRE 규칙이 잘못 실행되는 경우 QRadar Advisor with Watson 앱의 MITRE ATT & CK 정확도가 저하될 수 있습니다. 또한 오펜스를 오발하고 작성하는 룰로 인해 QRadar Advisor with Watson 앱에 문제가 발생할 수 있습니다. 주기적으로 룰을 검토하고 튜닝하십시오. |
| Advisor에서는 호스트 정의 빌딩 블록(BB:HostDefinition)을 사용합니다. | QRadar Advisor with Watson 앱, MITRE ATT & CK 맵핑 및 CRE 규칙은 DNS 서버 및 DHCP 서버와 같은 특정 기능을 제공하는 호스트가 QRadar 빌딩 블록에 정확하게 정의되어 있는지 여부에 따라 다릅니다. 빌딩 블록 검토 |
| 사용자 정보를 보려면UBA 앱을 설치하고 구성하십시오. | User Behavior Analytics 앱이 설치된 경우QRadar Advisor with Watson 는 UBA 참조 세트 및 UBA 위험 점수를 사용합니다. QRadar Advisor with Watson 앱과 UBA앱이 모두 설치된 경우 사용자 특정 조사를 시작할 수 있습니다. |
| QRadar 시스템 경고로 인해 문제가 발생합니다. | QRadar Advisor with Watson 앱을 설치하기 전에 QRadar 시스템 경고에 주의하고 이를 수정하십시오. 이로 인해 앱이 제대로 작동하지 못하게 될 수 있습니다. |
| QRadar 패치 설치는 QRadar Advisor with Watson 설치와 결합되지 않아야 합니다. | QRadar Advisor with Watson 패치 설치와 QRadar Advisor with Watson 설치를 동시에 결합하지 마십시오. 이로 인해 QRadar Advisor with Watson 의 디버깅 문제가 더욱 까다로워지고 있습니다. QRadar 패치 업데이트를 완료하고 시간을 들여 새 패치 레벨이 제대로 작동하는지 확인한 다음에만 QRadar Advisor with Watson 앱을 설치하거나 업그레이드하십시오. |
| Advisor는 QRadar 오펜스 닫기 이유를 사용합니다. | 워크플로우에 적합한 몇 가지 닫기 이유 (예: "인시던트 응답으로 에스컬레이션됨" 또는 "CRE룰 튜닝 필요") 를 추가하고 오펜스를 닫는 모든 QRadar 사용자 및 스크립트가 오펜스를 닫을 때 적절한 QRadar 닫기 이유를 선택하는지 확인하십시오. |
| Advisor에서는 바이러스 방지 사용자 정의 특성의 적절한 참조 세트 값을 사용합니다. | QRadar Advisor with Watson 앱의 안티바이러스 차단 및 실행 그래프 강조표시는 안티바이러스 사용자 정의 특성의 적절한 참조 세트 값에 따라 다릅니다. |