Investigando ofensas automaticamente

É possível configurar o app QRadar® Advisor with Watson para investigar as ofensas no QRadar automaticamente

Antes de iniciar

Você deve ter privilégios de administrador do QRadar para configurar ofensas para investigação automática.

Sobre esta tarefa

A cada 60 minutos, o app QRadar Advisor with Watson obtém a lista de ofensas do QRadar que atendem aos seus critérios especificados e que ainda não foram analisados O aplicativo então enfileira até 10 ofensas por vez que correspondem aos critérios que você configurou e cada ofensa é investigada.

Importante: as investigações automáticas serão executadas apenas se a ofensa ainda não tiver sido analisada e todos os critérios configurados corresponderem a uma ofensa. As ofensas que tiverem mais de sete dias não serão analisadas. Caso uma ofensa seja atualizada depois de ser analisada, ela não será automaticamente enviada para investigação novamente, a menos que a caixa de seleção Ativar reinvestigação automática seja marcada na etapa 10.

A partir da V2.5.2, se você não quiser especificar os critérios para a investigação automática de ofensas, é possível selecionar a opção para Investigar ofensas sugeridas pelo Watson. O Watson considera os eventos e regras que acionaram a ofensa, bem como outros metadados da ofensa, para prever em quais ofensas seria melhor que ele fizesse uma investigação completa. Ele também aprende com as investigações de ofensas anteriores. As novas ofensas são pré-classificadas pelo Watson e aquelas nas quais ele considera que seria melhor fazer uma avaliação completa são selecionadas para investigação automática. Caso nenhuma das ofensas seja escolhida, as ofensas mais recentes serão selecionadas para a investigação automática.

Nota: se você estiver usando domínios do QRadar , não deverá ativar a investigação automática, a menos que deseje que as ofensas de todos os seus domínios sejam investigadas automaticamente.

Procedimento

No menu de navegação ( ), clique em Administrador.
Na seção Apps, em QRadar Advisor with Watson, clique em Configuração
Clique em Configurações Opcionais para abrir a página de menu do Configurações Opcionais
Clique em Investigação automática.
Marque a caixa de seleção Ativar investigação local automática
Selecione dentre as seguintes opções:
- Investigar ofensas sugeridas pelo Watson
- Investigar ofensas que correspondem aos critérios configurados

Se você selecionou Investigar ofensas que correspondem aos critérios configurados, configure os seguintes critérios:

Opção	Descrição
Status da ofensa	Especifique o tipo de ofensa que você deseja incluir para investigação automática. Aberta: selecione para investigar todas as ofensas abertas que estão ativas ou inativas Ativa: selecione para investigar apenas as ofensas abertas e ativas. As ofensas inativas e fechadas não são incluídas para investigação automática.
Faixa de magnitude	Especifique a faixa de magnitude para uma ofensa a ser selecionada para investigação automática. A magnitude da ofensa deve estar dentro da faixa definida. Por exemplo, se a faixa selecionada é de 8 a 10, as ofensas com magnitude 8, 9 e 10 correspondem aos critérios. Dica: Se você desejar limitar a magnitude a um único número inteiro, junte as réguas de controle para que elas se sobreponham
Horário de início da ofensa	Especifique o período de tempo (1 minuto a 24 horas) que deve passar antes de uma ofensa ser investigada. Por exemplo, se você especificar 20 minutes, a ofensa deverá ter pelo menos 20 minutes ou mais antes que seja investigada. Dica: se o Watson não estiver descobrindo muitas detecções, considere aumentar o horário de início para que mais eventos possam ser coletadas pelo sistema QRadar . Aguarde até que sejam coletadas ofensas adicionais que possam fornecer mais evidência para o Watson analisar. Dica: para ver a data e hora de início de uma ofensa, visualize a coluna Data de Início na guia Ofensas .
Último evento/fluxo	Especifique o período de tempo (0 minutos a 24 horas) que deve decorrer após a última atualização de uma ofensa com um novo evento, antes de ser investigada. Por exemplo, se você especificar 20 minutos, o evento deve ter sido atualizado a pelo menos 20 minutos antes de ser investigado. Dica: para ver quando o último evento ou fluxo de uma ofensa ocorreu, visualize a coluna Último Evento / Fluxo na guia Ofensas
Categorias de ofensas de alto nível	Especifique a categoria de delito de alto nível. Todas as categorias de delito de alto nível: selecione para investigar todos os tipos de categoria de delito de alto nível. Categoria de delito de alto nível selecionada: selecione Categorias de delito de alto nível disponíveis na lista e, em seguida, clique na seta para baixo para incluir o tipo na lista Categorias de delito de alto nível selecionadas. Nota: deve-se selecionar pelo menos uma ofensa de categoria de alto nível na lista Dica: é possível ver uma categoria de alto nível de ofensa e sua categoria de baixo nível associada concluindo as etapas a seguir. Na página Resumo de Ofensas na guia Ofensas, clique em Exibir > Categorias para visualizar as categorias de baixo nível para a ofensa Na guia Ofensas, clique em Por Categoria Os delitos são agrupados por categoria de alto nível. Para visualizar a categoria de baixo nível para uma categoria de alto nível específica, clique no ícone de seta próximo ao nome da categoria de alto nível. Para obter mais informações, clique no ícone de ajuda.
Tipos de ofensas	Especifique um tipo de ofensa. Todos os tipos de ofensa: selecione para investigar todos os tipos de ofensa. Tipos de ofensa selecionados: selecione Tipos de ofensa disponíveis na lista e, em seguida, clique na seta para baixo para incluir o tipo na lista Tipos de ofensa selecionados. Nota: deve-se selecionar pelo menos um tipo de ofensa na lista.

Selecione a caixa de seleção Ativar Watson investigação enriquecida para enviar ofensas, que atendem aos critérios de configuração para investigação automática, para Watson.
Configure o Limite máximo diário para alocar uma porcentagem máxima de seu limite diário a ser usado para investigações automáticas Depois de usar a porcentagem alocada, as investigações enriquecidas do Watson serão paradas por um dia, mas as investigações locais automáticas continuarão. As investigações enriquecidas do Watson serão reiniciadas no dia seguinte, quando sua cota diária for reconfigurada.

Nota: Se você tiver uma licença corporativa, essa opção não será mostrada
Selecione a caixa de seleção Ativar nova investigação automática para reinvestigar automaticamente ofensas investigadas anteriormente.

Quando a nova investigação automática é ativada, o aplicativo QRadar Advisor with Watson pode reinvestigar as ofensas investigadas anteriormente que atendem aos critérios a seguir: foram investigadas automaticamente uma vez e não foram reinvestigadas e acumularam mais eventos e fluxos desde a investigação anterior
Clique em Enviar.
Clique em Concluir.

O que fazer a seguir

Sua configuração está concluída. É possível começar usando o aplicativo QRadar Advisor with Watson .