Mapeando propriedades customizadas

Para apriviver a análise de ofensa, você deve mapear suas propriedades customizadas IBM® QRadar® para os nomes de propriedade do app QRadar Advisor with Watson .

Antes de iniciar

Você deve ter QRadar privilégios de administrador para mapear propriedades.

A partir da versão 2.5.0, o mapeamento de propriedade sugerido são fornecidos para você adicionar. Para obter mais informações, consulte Mapping propriedades customizadas em V2.5.0 e posterior.

Sobre esta tarefa

Ao configurar o mapeamento de propriedades para dados de eventos e de fluxo, as propriedades customizadas são mapeadas para os campos padronizados usados no mecanismo que está executando o processo de análise.
Importante: somente endereços IP que não são privados e não marcados como internos na QRadar hierarquia de rede, URLs, hashes e domínios são enviados para análise de nuvem. Todos os outros mapeamentos afetam apenas dados locais que são encontrados em QRadar e nunca deixam a sua rede.
Para as categorias IP da origem e IP do destino, somente as propriedades customizadas do IP estarão disponíveis para mapeamento. Para todas as outras categorias, somente as propriedades Alfanuméricas estão disponíveis para mapeamento. Deve-se também converter as propriedades Alfanuméricas em IP para que possam ser mapeadas ou, se você precisar preservar o tipo de propriedade, será possível copiá-la e fazer a cópia de um tipo de IP.
Exemplo: Na janela Propriedades do Evento Personalizado do seu QRadar Console, é possível alterar o Tipo de Campo de propriedade personalizada que pertencem a essas categorias. Se você desejar manter o Tipo de campo da propriedade customizada, será possível copiar o Tipo de campo para uma nova propriedade customizada. Neste exemplo, se você desejar mapear uma propriedade customizada Alfanumérica chamada "CustomSourceAddress" que contém os nomes de hosts e os IPs na categoria sourceip, será possível criar uma nova propriedade customizada chamada "CustomSourceIP" com a mesma definição que "CustomSourceAddress" mas com um Tipo de campo de IP. Apenas IPs serão incluídos na nova propriedade customizada e ela estará disponível para mapeamento na seção Adicionar Mapeamento da Configuração do Admin QRadar Advisor with Watson .

Procedimento

  1. No menu de navegação ( Ícone do menu de navegação ), clique em Admin.
  2. Na seção Apps, sob QRadar Advisor with Watson, clique em Configuração.
  3. Na seção Mapeamento de Propriedade, clique em Adicionar Mapeamento.
  4. Selecione um tipo na lista a seguir:
    • Fluxos
    • Eventos
  5. Selecione um nome canônico na lista.
  6. Selecionar uma propriedade da lista. A lista é preenchida com base no nome canônico que você selecionou.
  7. Clique em Adicionar.

Exemplo

O exemplo a seguir mostra a V2.4.1 e anterior.
Configuração Mapeamento de Propriedade

O que fazer a seguir

Definir configurações opcionais

Mapeamento de propriedades customizadas na V2.5.0 e mais recentes

Mapear suas propriedades customizadas para os nomes de propriedade do app QRadar Advisor with Watson para uma melhor análise de suas ofensas.

Sobre esta tarefa

Na V2.5.0 e mais recentes, é possível encontrar propriedades sugeridas baseadas em suas origens de log ativas. Revise as sugestões, inclua mapeamentos para propriedades que são exclusivas ao seu ambiente e clique em Salvar propriedades para salvar essas propriedades em seus mapeamentos.

As propriedades sugeridas são descobertas no sistema ao configurar pela primeira vez a tela Mapeamento de propriedades. Os resultados são armazenados em cache por 15 minutos e, após esse período, ao retornar para o assistente de Configuração, as propriedades sugeridas são atualizadas. Dica: se, futuramente, houver mudanças no ambiente e novas propriedades forem descobertas, é possível retornar para a seção Mapeamento de propriedades no assistente de Configuração para revisar as propriedades recém-sugeridas e, em seguida, salvá-las.

Nota: ao configurar a tela Mapeamento de propriedades pela primeira vez, deve-se revisar todas as propriedades sugeridas e, em seguida, clicar em Salvar propriedades antes de prosseguir para a próxima etapa. Caso não sejam sugeridas propriedades, é possível continuar sem salvar.

Procedimento

  1. No menu de navegação ( Ícone do menu de navegação ), clique em Admin.
  2. Na seção Apps, sob QRadar Advisor with Watson, clique em Configuração.
  3. Na seção Mapeamento de Propriedade, revise os mapeamentos sugeridos ou clique em Adicionar propriedade customizada para adicionar um novo mapeamento de propriedade.
    1. Na lista Selecionar um Tipo de Origem , escolha entre Eventos ou Flows.
    2. Na lista Selecionar um tipo de consultor, escolha o tipo da propriedade QRadar Advisor with Watson que você deseja mapear para uma propriedade QRadar ,
    3. Na lista Selecionar uma propriedade do QRadar, escolha a propriedade QRadar para mapear.
    4. Clique em Adicionar.
    Adicionar Tela de Mapeamento para V2.5.0
  4. Selecione Habilitado se você quiser usar a propriedade mapeada.
  5. Clique em Salvar propriedades. Dica: os mapeamentos não podem mais ser excluídos, no entanto, é possível desativar um mapeamento, desmarcando a caixa de seleção Ativado.
    O exemplo a seguir mostra a V2.5.0 e posterior.
    Mapeamento de propriedade v2.5.0