Ajustando as regras ativas que geram ofensas

Ajustar as regras mais irrelevantes pode ter um impacto significativo na redução de falsos positivos. Para investigar as ofensas do IBM® QRadar®, deve-se visualizar as regras que criaram a ofensa.

1. No menu principal QRadar Use Case Manager , clique em Regras Ativas.
2. Aplique filtros às regras ativas para ajustar com precisão sua investigação.
   1. Filtre as regras que começaram a contribuir para as ofensas de acordo com o calendário ou por período de tempo. A data padrão é nos últimos três dias. Altere o intervalo de tempo ou escolha filtrar as regras que começaram a contribuir para ofensas entre datas e horas específicas.
   2. Selecione parâmetros para excluir ofensas dos resultados, como ofensas ocultas ou encerradas. As ofensas marcadas para acompanhamento estão sinalizadas para investigação adicional. Você pode ter ofensas que deseja reter, independentemente do período de retenção; essas ofensas são protegidas para evitar que sejam removidas do QRadar após o período de retenção decorrer. As ofensas inativas podem ser removidas da visualização para que os relatórios não fiquem desorganizados.
   3. Selecione o motivo de encerramento de uma ofensa. Por exemplo, é possível filtrar para ver quais regras geraram as ofensas que foram encerradas como falsas positivas. As regras com muitos falsos positivos provavelmente precisam de ajuste. As ofensas encerradas como não problema geralmente são consideradas não críticas para sua organização.
   4. Clique em Aplicar filtros.
3. Revise as Ofensas por regra, Ofensas por categoria e regra, Ofensas encerradas por razão e regra, Tendência de contagem de eventos por regrae gráficos de Tendência de criação de ofensa por regra
   dica: o gráfico Tendência de criação de ofensa por regra é suportado no QRadar 7.4.1 Fix Pack 2 ou posterior.
   1. Passe o mouse sobre os segmentos do gráfico para ver mais detalhes sobre uma ofensa.
   2. Ocultar ou mostrar legendas de gráfico.
   3. Clique nas teclas de legenda para ajustar a exibição do gráfico.
   4. Aumente o zoom para investigação adicional.
   5. Expanda os gráficos de barras e de linha de tempo para tela cheia.
   6. Exporte os gráficos de barras e de linha de tempo para os formatos CSV, PNG ou JPG.
   7. Visualize dados do gráfico de barras e de linha de tempo em formato tabular. Em seguida, exporte os dados em formato CSV para visualizar off-line ou compartilhar com os colegas.
4. Na tabela, ajuste as regras escolhendo entre os métodos a seguir:
   1. Alterne entre as regras mais irrelevantes ou todas as regras na lista.
   2. Inclua mais regras para investigar selecionando um grupo de regras ou uma regra individual na lista.
      Dica: A coluna Contagem de eventos no relatório indica quantos eventos a regra associada às ofensas contadas na coluna Contagem de ofensas . A coluna Contagem de eventos é suportada no QRadar 7.4.1 Fix Pack 2 ou posterior.
5. Clique em Investigar.
   1. Assista a um vídeo curto para aprender a usar o assistente de regra.
   2. Revise cada regra individual e os BBs que contribuem para a regra ativa. Para cada regra, é possível investigar isso ainda mais clicando em Mostrar árvore de dependências ou Editar no assistente de regra.
   3. Use o diagrama de visualização para um ajuste ainda mais preciso de quaisquer opções relacionadas para a regra ou o bloco de construção, como tipos de origem de log, propriedades customizadas ou conjuntos de referência.
   4. Revise as ofensas que são geradas por regra ativa.
   5. Revise os valores nos vários grupos de testes e ajuste se necessário.
   6. Revise os mapeamentos de MITRE ATT&CK para a regra e edite se necessário.
   7. Para incluir atributos de regra customizada na regra ou no bloco de construção selecionado, consulte a Etapa 10 em Investigando regras e blocos de construção do QRadar.
   8. Para investigar regras QRadar User Behavior Analytics , consulte Investigando regras de analítica de comportamento do usuário.
   9. Para retornar à página Regras Ativas , clique em Regras Ativas nas trilhas de navegação.
6. Para exportar os dados da regra selecionada no relatório para um format CSV, que você pode processar ou visualizar no Excel, marque as caixas de seleção relevantes e clique em Exportar.