Análise de disposição de ofensa
A Análise de Disposição de Ofensa (ODA) no aplicativo QRadar® Advisor with Watson fornece os motivos de fechamento mais prováveis que serão usados para uma ofensa sob investigação com base na análise de ofensas semelhantes passadas.
O QRadar Advisor with Watson coleta dados de ofensas que foram encerrados durante as 6 horas anteriores Para que uma ofensa seja analisada com a Análise de Disposição de Ofensa, ela deve ser encerrada com um motivo de fechamento padrão QRadar ou um motivo de fechamento customizado e investigada pelo aplicativo QRadar Advisor with Watson .
Nota: para que a Análise de disposição de ofensa seja precisa, deve-se usar uma chave de API e uma senha para cada ambiente que estiver executando o QRadar Advisor with Watson.
Não há ofensas semelhantes recentes suficientes para fornecer uma análise de disposição
Você pode ver a mensagemThere are not enough recent similar offenses to provide a
disposition analysis. Esta mensagem não indica um problema com o ODA e é normal nos seguintes casos:
- A Análise de Disposição de Ofensa deve coletar metadados suficientes de seu sistema QRadar antes que ele possa executar uma análise de disposição A análise de disposição requer informações de fechamento de pelo menos 10 ofensas com as mesmas descrições de ofensa. Se o app ainda não tiver visto pelo menos 10 ofensas encerradas com a mesma descrição que a ofensa que está sendo visualizada, você verá esta mensagem. À medida que mais metadados são coletados em ofensas encerradas, essa mensagem desaparece eventualmente e é substituída pelos resultados da análise de disposição. Nota: não é necessário reinvestigar a ofensa para que os resultados sejam atualizados. Ao visualizar a investigação posteriormente, os resultados do ODA serão atualizados automaticamente se dados suficientes foram coletados.
- A Análise de disposição de ofensa coletou dados para 10 ou mais ofensas encerradas com a mesma descrição que a ofensa que você está visualizando, mas as contagens de diferentes razões de fechamento são as mesmas, de forma que a Análise de disposição de ofensa não pode fazer uma recomendação. Por exemplo, se as ofensas com a mesma descrição tiverem sido encerradas cinco vezes como Falso Positivo, cinco vezes como Escalado, cinco vezes como Violação de política e cinco vezes como Sem problema, o ODA não poderá fazer uma recomendação das três principais razões de fechamento e mostrará essa mensagem até que mais dados sejam coletados.
- A Análise de Disposição de Ofensa é suportada para ofensas que são investigadas pelo QRadar Advisor with Watson para o estágio 2 (Watson enriquecido) ou estágio 3 (Contexto Local Expandido). Se a ofensa for somente investigada automaticamente para o estágio 1 (Mineração Local), você verá essa mensagem, independentemente de quantos dados forem coletados. É possível sempre reinvestigar a ofensa manualmente para ver os resultados.
- A Análise de Disposição de Ofensa será suportada apenas se as ofensas forem encerrados em seu sistema QRadar com motivos de fechamento padrão ou customizado QRadar Se as ofensas não estiverem fechadas no QRadar, a Análise de disposição de ofensa não poderá coletar quaisquer metadados e sempre mostrará essa mensagem para todas as ofensas.
- O administrador do QRadar Advisor with Watson reconfigurou o modelo de dados da guia Administrador do QRadar . A reconfiguração do modelo de dados faz com que a Análise de disposição de ofensa mostre essa mensagem até que dados suficientes possam ser coletados novamente.
- O administrador do QRadar Advisor with Watson mudou as credenciais do XFE configuradas para QRadar Advisor with Watson para um novo conjunto de credenciais. Os dados de Análise de disposição de ofensa são coletados por chave de API do XFE e a mudança das credenciais da API do XFE pode fazer com que essa mensagem seja exibida até que dados suficientes sejam coletados para as novas credenciais.
- Se você investigou uma ofensa com a versão 1.X.X e, em seguida, fez upgrade para a versão 2.0.0 ou posterior, as ofensas que foram investigadas pelo 1.X.X sempre mostram essa mensagem. O Offense Disposition Analysis só é suportado para ofensas investigadas pelo QRadar Advisor with Watson 2.0.0 e posterior.
Reconfigurar modelo de treinamento
Será necessário reconfigurar o modelo de treinamento da Análise de disposição de ofensa se as condições a seguir
se aplicarem:
- Você fez grandes mudanças em sua configuração do QRadar, como implementação ou ajuste de regras do CRE ou inclusão de novas origens de log. Fazer grandes mudanças em sua configuração do QRadar pode invalidar o treinamento atual.
- Você mudou como usa as razões de fechamento de ofensa do sistema QRadar. Por exemplo, se você incluir novas razões de fechamento customizado para substituir as razões atuais, se descobrir que nem todos os seus usuários do QRadar estão usando razões de fechamento de uma maneira consistente ou se tiver encerramentos da ofensa em massa com razões de fechamento inexatas.
Para reconfigurar o modelo de treinamento de disposição de ofensa no QRadar 7.3.3 ou mais recente, no menu de navegação QRadar , clique em e, em seguida, clique em Reconfigurar Modelo de Treinamento.
