Indexando as melhores práticas
É possível ativar índices específicos para melhorar o desempenho com base nos tipos de ofensas que você deseja analisar.
O aplicativo QRadar® Advisor with Watson executa procuras no QRadar. As procuras do QRadar requerem que índices sejam concluídos rapidamente e com impacto limitado no restante do sistema. O resultado de índices ausentes pode incluir o seguinte:
- Frequência aumentada de mensagens de aviso do SAR Sentinel na interface de Mensagens do QRadar devido a procuras de desempenho insatisfatório
- Análise concluída, mas nenhuma detecção local ou limitada foi localizada (gráfico de Estágio 1).
Os índices devem ser ativados para todos os tipos de ofensa que você deseja que sejam analisados. Nem
todos os tipos de ofensa possuem índices que são ativados por padrão.
Nota: assegure-se de otimizar e ativar todas as propriedades customizadas usadas para indexação de ofensa. O uso de propriedades que não são otimizadas pode ter um impacto negativo no desempenho.
| Tipo de ofensa | Campo AQL | Propriedade a ser indexada | Ativado por Padrão |
|---|---|---|---|
| Todos os Tipos Customizados | (Customizado) | (Customizado) | Não |
| Regra | creEventList | Regra customizada | Somente Eventos |
| IPv6 de Destino | destinationv6 | Destino de IPv6 | Não |
| IPv6 de Origem | sourcev6 | Origem de IPv6 | Não |
| Porta de destino | destinationPort | Porta de destino | Sim |
| Porta de Origem | sourcePort | Porta de Origem | Não |
| Nome do Evento | qid | Nome do Evento | Somente Eventos |
| IP de destino | destinationIP | IP de destino | Sim |
| IP de origem | sourceIP | IP de origem | Sim |
| Nome do Host | identityHostName | Nome do Host de Identidade | Não |
| Origem de log | logSourceId | Origem de log | Sim |
| Endereço MAC de Destino | destinationMAC | MAC de Destino | Não |
| Endereço MAC de Origem | sourceMAC | MAC de Origem | Não |
| Nome do usuário | userName | Nome do usuário | Sim |
| ID do Aplicativo | applicationId | Aplicativo | Sim |
| ASN de Destino | destinationASN | ASN de Destino | Não |
| ASN de Origem | sourceASN | ASN de Origem | Não |
Nota: a ativação de índices não afeta dados passados. Entre em contato com o Suporte ao Cliente IBM para
obter assistência sobre indexação de dados anteriores.
Para obter mais informações sobre indexação no QRadar, consulte a nota técnica a seguir: https://www.ibm.com/support/docview.wss?uid=swg21689802.