Visualizando o gráfico de relacionamento

A página Gráfico de relacionamento no app QRadar® Advisor with Watson mostra detalhes sobre o incidente selecionado sendo investigado. Ao filtrar por meio das detecções e ao visualizar os relacionamentos, é possível saber mais sobre a ofensa.

1. Clique em Relacionamentos de Gráfico para abrir a página de Gráfico de Relacionamentos
   • A partir da página Watson Investigations, clique em uma ofensa e, em seguida, clique em Criar gráfico de relacionamentos.
   • A partir da página Ofensa, dê um clique duplo em uma ofensa. Clique em Criar gráfico de relacionamentos.
2. Na página Gráfico de Relacionamento , é possível visualizar o gráfico resultante O gráfico usa cores e ícones para ilustrar as informações a seguir:

   Exemplo de detecção	Descrição
   	O destaque amarelo indica o nó raiz.
   	Os ícones vermelhos representam nós maliciosos.
   	Os ícones de círculo azul indicam os nós armazenados em cluster. O número especifica quantos nós estão em armazenados em cluster.
   	Os ícones de dois círculos indicam os ativos que possuem um valor alto, conforme designado em seu sistema QRadar. O número especifica o peso de ativo que está designado ao ativo. Ativos que são designados a pesos com 7 ou superior são mostrados como ativos de alto valor (disponível no V1.9.0 ou mais recente).
   	Os ícones de usuário com dois círculos indicam contas importantes do usuário e do serviço de máquinas que são consideradas de alto valor. Nota: Usuários de alto valor ou contas do serviço são encontrados nos conjuntos de referência a seguir: "UBA: usuários executivos" e "UBA: serviço, conta de máquina".

3. Determine se você concorda, discorda ou não tem certeza quanto à avaliação do Watson sobre a prioridade da ofensa. Também é possível clicar em Alterar avaliação para alterar sua avaliação da prioridade da ofensa. Dica: quanto mais ofensas forem avaliadas, melhor será o aprendizado do modelo sobre o seu ambiente.
4. É possível filtrar as opções a seguir para visualizar os dados específicos no gráfico:

   Tabela 1. Filtrar gráficos

   Opções de filtro	Descrição
   Relacionamentos	Selecione um relacionamento para se focalizar nos links locais e aprimorados. Ofensa local: exibe bordas e links que são descobertos na fase de geração de gráfico local que coleta informações de sua instância do QRadar . Watson Enriquecido: exibe bordas e links aprimorados que são descobertos durante a fase de geração de gráfico enriquecido que coleta informações de incidente do IBM® X-Force® Exchange. Ofensa local-externa: exibe bordas e links relacionados a observáveis que não estão na ofensa original que são descobertos em seu ambiente local do QRadar durante a análise enriquecida do Watson . A análise de contexto local expandida fornece mais evidências de atividade maliciosa. Nota: se nenhuma observação adicional for localizada durante a investigação enriquecida do Watson , nada estará disponível para investigar para o contexto local Expandido. Bloqueado local: exibe os eventos bloqueados e os fluxos bloqueados no gráfico de conhecimento. Observação: os eventos bloqueados são determinados inspecionando a categoria de nível inferior dos eventos para determinar se as conexões podem ser bloqueadas ou não. A conexão é relatada como bloqueada se existem entradas de acesso negado na categoria de baixo nível do evento. Os fluxos bloqueados são determinados examinando-se os bytes de destino transferidos e o protocolo. Se o protocolo for tcp_ip, os bytes são totalizados, e se destinationBytes for igual a zero, o fluxo é bloqueado. Bloco enriquecido do Watson: exibe os enriquecimentos que apontam para uma entidade localmente bloqueada, como um endereço IP. A entidade local é exibida como bloqueada no gráfico.
   Cenários	Mostra a opção para focar Executado por malware se configurado.
   Dúvida	Selecione um nível de preocupação para focar os níveis de preocupação específicos.
   Detecções	Selecione os tipos de detecção para se focalizar nos detalhes específicos do incidente. Os observáveis mostrados no gráfico são dimensionados para representar a relevância conforme indicado pelo nível de preocupação. Para obter mais informações, consulte Visualizando detalhes para o observável ou relacionamento selecionado.
   MITRE ATT&CK Tactics & Techniques	Selecione táticas e quaisquer técnicas associadas para focar em eventos específicos relacionados ao delito.
   Referências	Dependendo da observação selecionada, é possível filtrar as origens de dados associadas a seguir: IBM X-Force Exchange Inteligência de ameaça de Parceiro de Negócios confiável Nota: devido a restrições de licença, o provedor de dados não é exibido. Inteligência de software livre

5. Clique em um observável ou relacionamento no gráfico para abrir a área de janela de detalhes.
6. É possível clicar em Exportar para selecionar um tipo de exportação a partir das seguintes opções:

   Opção	Descrição
   Exportar para STIX	Clique em Exportar para STIX para fazer download dos resultados da análise de sua investigação para o formato STIX. Para obter mais informações, consulte Exportando seus resultados de análise para o STIX
   Exportar para CSV	Clique em Exportar para CSV para fazer download dos resultados da análise de sua investigação para o formato CSV. Para obter mais informações, consulte Exportando seus resultados de análise para CSV..
   Exportar para o conjunto de referência	Clique em Exportar para Conjunto de Referência para selecionar tipos observáveis e, em seguida, clique em Exportar para exportar observáveis suficientemente tóxicos que são encontrados durante a investigação. Nota: você não precisa criar o conjunto de referência antes que ocorra uma exportação. O conjunto de referência é criado apenas quando a análise contém valores a serem exportados. Para obter mais informações, consulte Exportando conjuntos de referência.

Exemplo

O exemplo a seguir mostra a UI do tema claro do gráfico de relacionamento no QRadar Advisor with Watson 2.6.0.

O exemplo a seguir mostra a UI de tema escuro do gráfico de relacionamento em QRadar Advisor with Watson 2.6.0 e QRadar Analyst Workflow 1.2.0.