오펜스 자동 조사

QRadar 에서 자동으로 오펜스를 조사하도록 QRadar® Advisor with Watson 앱을 구성할 수 있습니다.

시작하기 전에

자동 조사를 위해 오펜스를 구성하려면 QRadar 관리자 권한이 있어야 합니다.

이 태스크에 대한 정보

60분마다 QRadar Advisor with Watson 앱은 지정된 기준을 충족하고 아직 분석되지 않은 QRadar 에서 오펜스 목록을 가져옵니다. 그런 다음 앱은 사용자가 구성한 기준에 일치하는 오펜스를 한 번에 최대 10개로 큐에 넣으며 각 오펜스가 조사됩니다.
중요: 자동 조사는 오펜스가 아직 분석되지 않았고 구성한 모든 기준이 오펜스와 일치하는 경우에만 실행됩니다. 7일이 넘게 지난 오펜스는 분석되지 않습니다. 분석된 후에 오펜스가 업데이트된 경우에는 10단계의 자동 재조사 사용 선택란을 선택하지 않는 한 조사를 위해 다시 자동으로 전송되지 않습니다.

V2.5.2부터 오펜스의 자동 조사에 대한 기준을 지정하지 않을 경우 Watson에서 제안하는 오펜스 조사를 위한 옵션을 선택할 수 있습니다. Watson은 전체 Watson 조사로부터 가장 큰 혜택을 받게 되는 오펜스를 예측하기 위해 다른 오펜스 메타데이터뿐만 아니라 오펜스를 트리거한 이벤트 및 룰을 고려합니다. 또한 이전의 오펜스 조사로부터 학습합니다. 새 오펜스는 Watson에 의해 사전에 순위가 정해지고 전체 Watson 조사로부터 혜택을 받는 오펜스가 자동 조사를 위해 선택됩니다. 새 오펜스가 선택되지 않으면 최신 오펜스가 자동 조사를 위해 선택됩니다.

참고: QRadar 도메인을 사용 중인 경우 모든 도메인의 오펜스를 자동으로 조사하지 않으려면 자동 조사를 사용으로 설정하지 않아야 합니다.

프로시저

  1. 탐색 메뉴 ( 탐색 메뉴 아이콘 ) 에서 관리를 클릭하십시오.
  2. 앱 섹션의 QRadar Advisor with Watson아래에서 구성을 클릭하십시오.
  3. 선택적 설정 을 클릭하여 선택적 설정 메뉴 페이지를 여십시오.
  4. 자동 조사를 클릭하십시오.
  5. 자동 로컬 조사 사용 선택란을 선택하십시오.
  6. 다음 옵션에서 선택하십시오.
    • Watson에서 제안하는 오펜스 조사
    • 구성된 기준과 일치하는 오펜스 조사
  7. 구성된 기준과 일치하는 오펜스 조사를 선택한 경우 다음 기준을 구성하십시오.
    옵션 설명
    오펜스 상태 자동 조사에 포함하려는 오펜스 유형을 지정하십시오.
    • 열림: 활성이거나 비활성인 모든 열린 오펜스를 조사하려면 선택하십시오.
    • 활성: 열려 있고 활성인 오펜스만 조사하려면 선택하십시오. 비활성이며 해결 처리된 오펜스는 자동 조사에 포함되지 않습니다.
    위험지표 범위 자동 조사를 위해 선택되는 오펜스의 위험지표 범위를 지정하십시오. 오펜스 위험지표는 정의된 범위 내에 있어야 합니다. 예를 들어 선택한 범위가 8 - 10이면 위험지표 8, 9, 10이 있는 오펜스가 기준에 일치합니다.
    팁: 크기를 단일 정수로 제한하려면 슬라이더가 겹치도록 결합하십시오.
    오펜스 시작 시간 오펜스를 조사하기 전에 경과해야 하는 시간의 양(1분 - 24시간)을 지정하십시오. 예를 들어 20분을 지정하면 오펜스가 조사되기 전에 최소 20분 이상이 경과했어야 합니다.
    팁: Watson 이 많은 관찰 가능 항목을 발견하지 못하는 경우 QRadar 시스템에서 더 많은 이벤트를 수집할 수 있도록 시작 시간을 늘리는 것을 고려하십시오. 추가 오펜스가 수집될 때까지 기다리면 Watson이 분석할 수 있는 추가 증거를 제공할 수 있습니다.
    팁: 오펜스의 시작 날짜 및 시간을 보려면 오펜스 탭에서 시작 날짜 컬럼을 보십시오.
    마지막 이벤트/플로우 오펜스를 조사하기 전에 오펜스가 새 이벤트로 최근 업데이트된 후 경과해야 하는 시간의 양(0분 - 24시간)을 지정하십시오. 예를 들어 20분을 지정하면 오펜스가 조사되기 최소 20분 전에 이벤트가 업데이트되었어야 합니다.
    팁: 오펜스의 마지막 이벤트 또는 플로우가 발생한 시기를 보려면 오펜스 탭에서 마지막 이벤트/플로우 컬럼을 보십시오.
    오펜스 상위 레벨 카테고리 오펜스 상위 레벨 카테고리를 지정하십시오.
    • 모든 오펜스 상위 레벨 카테고리: 모든 오펜스 상위 레벨 카테고리 유형을 조사하려면 선택하십시오.
    • 선택한 오펜스 상위 레벨 카테고리: 목록에서 사용 가능한 오펜스 상위 레벨 카테고리를 선택한 후 아래로 화살표를 클릭하여 해당 유형을 선택한 오펜스 상위 레벨 카테고리 목록에 추가하십시오.
      참고: 목록에서 하나 이상의 상위 레벨 카테고리 오펜스를 선택해야 합니다.
      팁: 다음 단계를 완료하여 오펜스 상위 레벨 카테고리 및 연관된 하위 레벨 카테고리를 볼 수 있습니다.
      1. 오펜스 탭의 오펜스 요약 페이지에서 표시 > 카테고리 를 클릭하여 오펜스의 하위 레벨 카테고리를 보십시오.
      2. 오펜스 탭에서 카테고리별을 클릭하십시오. 오펜스가 상위 레벨 카테고리별로 그룹화됩니다. 특정 상위 레벨 카테고리의 하위 레벨 카테고리를 확인하려면 상위 레벨 카테고리 이름 옆에 있는 화살표 아이콘을 클릭하십시오.
      자세한 정보를 확인하려면 도움말 아이콘을 클릭하십시오.
    오펜스 유형 오펜스 유형을 지정하십시오.
    • 모든 오펜스 유형: 모든 오펜스 유형을 조사하려면 선택하십시오.
    • 선택한 오펜스 유형: 목록에서 사용 가능 오펜스 유형을 선택하고 아래로 화살표를 클릭하여 유형을 선택한 오펜스 유형 목록에 추가하십시오.
      참고: 목록에서 하나 이상의 오펜스 유형을 선택해야 합니다.
  8. Watson 강화 조사 사용 선택란을 선택하여 자동 조사를 위한 구성 기준을 충족하는 오펜스를 Watson으로 전송하십시오.
  9. 최대 일일 한계 를 설정하여 자동 조사에 사용할 일일 한계의 최대 백분율을 할당하십시오. 할당된 백분율이 사용된 후 Watson 보강 조사는 해당 일에 대해 중지되지만 자동 로컬 조사는 계속됩니다. Watson 보강 조사는 일별 할당량이 재설정되면 다음 날 다시 시작됩니다.
    주: 엔터프라이즈 라이센스가 있는 경우 이 옵션은 표시되지 않습니다.
  10. 이전에 조사된 오펜스를 자동으로 다시 조사하려면 자동 다시 조사 사용 선택란을 선택하십시오.

    자동 재조사가 사용으로 설정되면 QRadar Advisor with Watson 앱은 다음 기준을 충족하는 이전에 조사된 오펜스를 재조사할 수 있습니다. 자동으로 한 번 조사되었지만 재조사되지 않았으며 이전 조사 이후 더 많은 이벤트 및 플로우를 누적했습니다.

  11. 제출을 클릭하십시오.
    자동 조사 화면
  12. 완료를 클릭하십시오.

다음에 수행할 작업

구성이 완료되었습니다. QRadar Advisor with Watson 앱 사용을 시작할 수 있습니다.