느린 검색을 사용하여 신속하게 IOC 찾기

IBM QRadar 지연 검색 을 사용하여 비정상 아웃바운드 네트워크 트래픽 또는 권한 있는 사용자 계정 활동의 이상 항목과 같은 IOC (Indicator of Compromise) 를 검색합니다.

시작하기 전에

느린 검색은 검색 기준과 관련된 첫 1000개의 이벤트를 리턴합니다. 예를 들어 악성 코드 발생 조사의 일환으로 특정 MD5를 검색해야 하는 경우 관련된 모든 이벤트를 검색할 필요는 없습니다. 느린 검색을 수행하여 신속하게 제한된 결과 세트를 리턴하십시오.

느린 검색을 이용하려면 관리자 보안 프로파일이 있거나 다음 방식으로 구성된 비관리자 보안 프로파일이 있어야 합니다.

• 권한 우선순위가 제한사항 없음으로 설정되어 있습니다.
• 모든 네트워크 및 로그 소스에 대한 액세스 권한이 있습니다.

도메인이 구성되어 있는 네트워크의 경우 비관리자 보안 프로파일이 있는 사용자는 느린 검색을 사용할 수 없습니다.

1. 빠른 필터를 사용한 느린 검색을 수행하려면 다음 단계를 수행하십시오.
   1. 로그 보기 탭의 빠른 필터 필드에 값을 입력하십시오.
   2. 보기 목록에서 시간 범위를 선택하십시오.
2. 기본 검색을 사용한 느린 검색을 수행하려면 다음 단계를 수행하십시오.
   1. 로그 보기 탭에서 검색 > 새 검색을 클릭하십시오.
   2. 최근 시간 범위를 선택하거나 특정 간격을 설정하십시오.
   3. 정렬 기준 필드 값이 Start Time 로 설정되고 결과 한계 필드 값이 1000 이하인지 확인하십시오. 검색에 집계 컬럼이 포함되어서는 안됩니다.
   4. 빠른 필터 매개변수의 값을 입력하고 필터 추가를 클릭하십시오.
3. 느린 검색을 전혀 사용하지 않도록 설정하려면 다음 단계를 수행하십시오.
   1. 관리 탭에서 시스템 설정 을 클릭하십시오.
   2. 시스템 설정 창의 기본 검색 한계 필드에서 값을 제거하십시오.