Customizando o Cyber Adversary Framework Mapping Application

Customize o Cyber Adversary Framework Mapping Application para mapear qualquer regra customizada no QRadar® para um MITRE ATT & CK.

Antes de iniciar

Com 2.6.0, o QRadar Use Case Manager é instalado com QRadar Advisor with Watson e a versão QRadar Use Case Manager é atualizada para 2.3.1. O Use Case Manager inclui o mapeamento e visualização do MITRE ATT&CK. Você deve seguir as instruções para o QRadar Use Case Manager. Para obter mais informações, consulte QRadar Use Case Manager..
Atenção: se você estiver usando o QRadar Advisor with Watson 2.5.3 ou anterior, será possível usar o aplicativo Cyber Adversary Framework Mapping Application incluído com o QRadar Advisor with Watson. Não use o QRadar Use Case Manager e o Cyber Adversary Framework Mapping Application ao mesmo tempo ou você encontrará problemas fora de sincronização.

As instruções a seguir se aplicam ao Cyber Adversary Framework Mapping Application. Deve-se concluir as etapas para a criação de um token de serviço autorizado antes de prosseguir. Para obter mais informações, consulte Configurando o Cyber Adversary Framework Mapping Application.

Sobre esta tarefa

Com o Cyber Adversary Framework Mapping Application, é possível criar seus próprios mapeamentos de regras ou modificar mapeamentos padrão do IBM para mapear suas regras customizadas para táticas e técnicas específicas. Por exemplo, se uma regra foi acionada, será possível mapear determinadas táticas e técnicas para essa regra.
Nota: o app QRadar Advisor with Watson e posterior mapeia automaticamente as táticas do MITRE ATT & CK para as regras do CRE.

Procedimento

  1. No menu de navegação ( Ícone do menu de navegação ), clique em Administrador.
  2. No QRadar 7.3.3 ou mais recente, clique em Apps > Aplicativo de Mapeamento do Cyber Adversary Framework > Configuração.
    Aplicativo de Mapeamento de Estrutura do Cyber Adversary
  3. Para sobrescrever mapeamentos padrão da IBM , filtre o Nome da Regra, a Tática ou a Técnica para localizar a regra que deseja editar.
  4. Clique no ícone Editar Mapeamento na coluna Ações para customizar o nível de confiança, as táticas e as técnicas associadas à regra. As táticas, técnicas e confiança são exibidas no QRadar Advisor with Watson gráfico de relacionamento.
    1. Clique em Mapear táticas e técnicas para a regra.
    2. Selecione as táticas que você deseja associar à regra. Para saber mais sobre a tática selecionada, clique em "Mais sobre..." .
    3. Selecione as técnicas associadas.
    4. Clique em Configurar confiança.
    5. Opcional: Altere o nível de confiança para a tática.
    6. Clique em Atualizar Regra.
  5. Inclua outro mapeamento de regra ou clique em Salvar mapeamento.
    Editar mapeamento
    Nota: clique no ícone Remover Mapeamento na coluna Ações para reconfigurar tudo de volta ao padrão.
  6. Clique em Incluir mapeamento para mapear mais regras que não estão listadas na lista padrão.
  7. Selecione ou procure um Grupo.. Todas as regras associadas a um grupo conforme definido em seu sistema QRadar são exibidas.
    Nota: Você pode ver um grupo vazio devido aos motivos a seguir:
    • Alguns grupos podem estar vazios porque estão vazios no sistema QRadar .
    • A regra que você deseja selecionar já está associada à tática.
  8. Selecione um Nome da regra na lista associada ao grupo selecionado. As táticas, técnicas e confiança são exibidas no QRadar Advisor with Watson gráfico de relacionamento.
    1. Clique em Mapear táticas e técnicas para a regra.
    2. Selecione as táticas que você deseja associar à regra. Para saber mais sobre a tática selecionada, clique em "Mais sobre..." .
    3. Selecione as técnicas associadas.
    4. Clique em Configurar confiança.
    5. Opcional: Altere o nível de confiança para a tática.
    6. Clique em Atualizar Regra.
  9. clique em Salvar mapeamento.
    Incluir mapeamento
  10. Para remover todos os mapeamentos customizados e reconfigurar para os mapeamentos padrão IBM , clique em Reconfigurar.

Exemplo

Mapeamento do MITRE ATT&CK