Criando widgets por meio de uma origem de dados de ofensa

Use os terminais de API de ofensa como uma origem de dados para seus widgets.

Sobre esta tarefa

Os administradores não podem criar widgets ou painéis para outros usuários, mas eles conseguem compartilhar os próprios painéis com outros usuários.

Para consultar a origem de dados de ofensas (endpoint /siem/offenses), é necessário ter a permissão Ofensas. Os dados que são retornados são restringidos com base em seu perfil de segurança.

Procedimento

  1. Clique em Configurar painel.

    A tela Configurar painel exibe uma biblioteca de widgets disponíveis, com detalhes sobre cada widget.

  2. Clique em Criar novo widget.
  3. Na página Novo Item do Painel , digite um nome e uma descrição para o widget.
  4. Selecione Offense na lista de origens de dados na seção Consulta e selecione os campos de API que desejar visualizar nos resultados da lista Campos . Use as opções Filtro e Classificação para refinar os resultados.

    Para obter mais informações sobre campos de API, consulte a documentação da API do console do QRadar (https://<ConsoleIPaddress>/api_doc/). Os campos da API de ofensa estão localizados na seção GET /siem/offenses

    A imagem a seguir mostra um exemplo de parâmetros de API concluídos:
    Imagem que mostra parâmetros da API de ofensa
    Nota: neste exemplo, o filtro assigned_to deve ser configurado para o usuário atual para recuperar resultados.
    Dica: é possível filtrar por uma ou mais origens de log em uma consulta de ofensa. Por exemplo, na caixa Filtro , insira log_sources CONTAINS (type_name="IBM Trusteer" OR type_name="CREEvents") para ver apenas as origens de log do IBM® Trusteer ® ou CREEvents
  5. Escolha um tempo de atualização para a frequência com que você pesquisa a origem de dados.
    Escolha uma taxa de atualização maior que o tempo de consulta selecionado. A taxa de atualização padrão é cada 5 minutos. Quanto menor o tempo de atualização, maior o impacto no desempenho no IBM QRadar®.
  6. Clique em Executar Consulta.
    Quando você cria o widget pela primeira vez, não é possível configurar os gráficos quando nenhum resultado de dados é retornado. Tente tornar os critérios nos campos menos rigorosos e execute a consulta novamente.
  7. Crie uma visualização na seção Visualizações .
    Como é possível criar várias visualizações por meio da mesma consulta, dê um nome exclusivo à visualização. Por padrão, o título e o status do gráfico na barra de título são exibidos; para ocultá-los, clique no ícone Mais opções e alterne as configurações para Desativado.
  8. Selecione um tipo de gráfico e preencha os campos correspondentes para o gráfico. Para obter casos de uso para ajudar a decidir qual tipo de gráfico usar, consulte Tipos de gráfico de widget.
    Tipo de gráfico Instruções
    Barra Criando um gráfico de barras
    Número Grande Criando um gráfico de número grande
    Geográfico Criando um gráfico geográfico
    Setor Criando um Gráfico de Setores Circulares
    Dispersão Criando um gráfico de dispersão
    Tabular Criando um gráfico tabular
    Séries temporais Criando um gráfico de série temporal
  9. Preview como o gráfico parece e depois clique em Salvar.

Resultados

É possível editar um widget e salvá-lo sem executar novamente a consulta. Por exemplo, se uma consulta não retornar resultados, como quando o período de tempo não é longo o suficiente para capturar novos eventos, ou se o valor de magnitude ou de gravidade não for aplicável ao executar a consulta, será possível salvar o widget. Ao editar a consulta, ela deve ser executada novamente para que seja possível salvar o widget.

A exclusão de um widget o remove de todos os painéis aos quais ele pertence. Se o painel excluído contiver parâmetros, eles não serão excluídos.