관계 그래프 보기

QRadar® Advisor with Watson 앱의 관계 그래프 페이지에는 조사 중인 선택된 인시던트에 대한 세부사항이 표시됩니다. 사용자는 관찰 가능 항목을 필터링하고 관계를 확인하여 오펜스에 대해 더 자세히 알아볼 수 있습니다.

시작하기 전에

조사를 위해 오펜스를 Watson 에 제출하거나 오펜스가 자동으로 조사되도록 구성해야 관계 그래프를 볼 수 있습니다.

이 태스크에 대한 정보

관계 그래프 페이지에서 조사의 결과를 그래프 양식으로 볼 수 있습니다. 관계 그래프는 조사의 각 단계 동안 발견된 인사이트를 보여줍니다.

프로시저

  1. 그래프 관계 를 클릭하여 관계 그래프 페이지를 여십시오.
    • Watson 조사 페이지에서 오펜스를 클릭한 후 그래프 관계를 클릭하십시오.
    • 오펜스 페이지에서 오펜스를 두 번 클릭하십시오. 그래프 관계를 클릭하십시오.
  2. 관계 그래프 페이지에서 결과 그래프를 볼 수 있습니다. 이 그래프는 색상과 아이콘을 사용하여 다음 정보를 표시합니다.
    예제 관찰 가능 항목 설명
    노란색 강조표시 아이콘 노란색 강조 표시는 루트 노드를 표시합니다.
    빨간색 아이콘 빨간색 아이콘은 악성 노드를 표시합니다.
    파란색 원 모양 아이콘 파란색 원이 있는 아이콘은 클러스터된 노드를 표시합니다. 숫자는 클러스터된 노드의 수를 지정합니다.
    이중 원 아이콘이 있는 자산 이중 원이 있는 아이콘은 QRadar 시스템에 높은 가치가 있다고 지정된 자산을 나타냅니다. 숫자는 자산에 지정된 자산 가중치를 지정합니다. 7 이상의 가중치가 지정된 자산은 높은 가치의 자산으로 표시됩니다(V1.9.0 이상).
    이중 원 아이콘이 있는 사용자 이중 원이 있는 사용자 아이콘에는 높은 가치로 간주되는 중요한 사용자와 시스템 서비스 계정이 표시됩니다. 참고: 가치가 높은 사용자 또는 서비스 계정은 다음 참조 세트에 있습니다. "UBA : 임원 사용자" 및 "UBA : 서비스, 시스템 계정".
  3. 오펜스 우선순위에 대한 Watson의 평가에 동의하는지, 동의하지 않는지 또는 확실하지 않은지 여부를 판별하십시오. 평가 변경을 클릭하여 오펜스 우선순위에 대한 평가를 변경할 수도 있습니다. 팁: 평가하는 오펜스가 많아질수록 모델에서 사용자 환경을 더 잘 학습하게 됩니다.
  4. 그래프에서 특정 데이터를 보기 위해 다음과 같은 옵션을 필터링할 수 있습니다.
    표 1. 그래프 필터링
    필터 옵션 설명
    관계 로컬 및 개선된 링크에 초점을 맞추려면 관계를 선택하십시오.
    • 로컬-오펜스: QRadar 인스턴스에서 정보를 수집하는 로컬 그래프 생성 단계에서 발견되는 에지 및 링크를 표시합니다.
    • Watson 강화: IBM® X-Force® Exchange에서 인시던트 정보를 수집하는 강화된 그래프 생성 단계 중에 발견되는 강화된 에지 및 링크를 표시합니다.
    • 로컬 외부 오펜스: Watson 강화 분석 중에 로컬 QRadar 환경에서 발견된 원래 오펜스에 없는 관찰 가능 항목과 관련된 에지 및 링크를 표시합니다. 확장된 로컬 컨텍스트 분석은 악성 활동의 추가 증거를 제공합니다.
      참고: Watson 강화 조사 중에 추가 관찰 가능 항목이 발견되지 않으면 확장 로컬 컨텍스트에 대해 조사할 수 있는 항목이 없습니다.
    • 로컬 차단: 지식 그래프에서 차단된 이벤트와 차단된 플로우를 표시합니다. 참고: 차단된 이벤트는 이벤트의 연결이 차단되었는지 판별하기 위해 이벤트의 하위 레벨 카테고리를 검사하여 판별됩니다. 이벤트 하위 레벨 카테고리에 액세스 거부 항목이 있으면 연결이 차단된 것으로 보고됩니다. 차단된 플로우는 전송된 대상 바이트와 프로토콜을 검사하여 판별됩니다. 프로토콜이 tcp_ip인 경우 바이트 총계가 있고 destinationBytes인 경우 0이면 플로우가 차단된 것입니다.
    • Watson 보강 차단: 로컬로 차단된 엔티티(예: IP 주소)를 가리키는 보강을 표시합니다. 그래프에서 로컬 엔티티가 차단된 것으로 표시됩니다.
    시나리오 구성되면 실행된 악성코드에 초점을 맞추는 옵션을 표시합니다.
    문제점 특정 우려 수준에 초점을 맞추려면 우려 수준을 선택하십시오.
    관찰 가능 항목 인시던트의 특정 세부사항에 초점을 맞추려면 관찰 가능 항목 유형을 선택하십시오. 그래프에 표시된 관찰 가능 항목은 우려 수준으로 표시되는 관련성을 나타내도록 크기가 조정됩니다. 자세한 정보는 선택한 관찰 가능 항목 또는 관계에 대한 세부사항 보기를 참조하십시오.
    MITRE ATT&CK 전술 및 기술 오펜스와 관련된 특정 이벤트에 초점을 맞추려면 전술 및 연관된 기술을 선택하십시오.
    참조

    선택한 관찰 가능 항목에 따라 다음 연관된 데이터 소스를 필터링할 수 있습니다.

    • IBM X-Force Exchange
    • 신뢰할 수 있는 비즈니스 파트너 위협 인텔리전스
      참고: 라이센싱 제한사항으로 인해 데이터 제공자가 표시되지 않습니다.
    • 오픈 소스 인텔리전스
  5. 세부사항 분할창을 열려면 해당 그래프에서 관찰 가능 항목 또는 관계를 클릭하십시오.
  6. 내보내기 를 클릭하여 다음 선택사항에서 내보내기 유형을 선택할 수 있습니다.
    옵션 설명
    STIX로 내보내기 STIX로 내보내기를 클릭하여 조사의 분석 결과를 STIX 형식으로 다운로드할 수 있습니다. 자세한 정보는 분석 결과를 STIX로 내보내기를 참조하십시오.
    CSV로 내보내기 CSV로 내보내기를 클릭하여 조사의 분석 결과를 CSV 형식으로 다운로드할 수 있습니다. 자세한 정보는 CSV로 분석 결과 내보내기를 참조하십시오.
    참조 세트로 내보내기 참조 세트로 내보내기를 클릭하여 관찰 가능 항목 유형을 선택한 후 내보내기를 클릭하여 조사 중 발견된 유독성 관찰 가능 항목을 내보내십시오.
    참고: 내보내기가 발생하기 전에 참조 세트를 작성할 필요가 없습니다. 참조 세트는 분석에 내보낼 값이 포함된 경우에만 작성됩니다.
    자세한 정보는 참조 세트 내보내기를 참조하십시오.

예

다음 예제는 QRadar Advisor with Watson 2.6.0에서 관계 그래프의 밝은 테마 UI를 표시합니다.
관계 그래프 표시등 테마 UI 2.6.0
다음 예제는 QRadar Advisor with Watson 2.6.0 및 QRadar Analyst Workflow 1.2.0에서 관계 그래프의 어두운 테마 UI를 표시합니다.
어두운 테마 UI 2.6.0 의 관계 그래프