Descobertas

No IBM® QRadar® Network Threat Analytics, Fluxos com as pontuações mais altas são submetidos a analítica avançada e agregação de dados e as informações são acumuladas em uma descoberta. Uma descoberta é uma agregação de comunicações de rede semelhantes que se desviam do tráfego de linha de base..

Dica:

Se a página inicial do IBM QRadar Network Threat Analytics não mostrar nenhuma descoberta, pode ser que o token de autenticação não tenha permissões de Administrador para o perfil de segurança e a função de usuário Outro motivo possível para não ter descobertas na página inicial é que o processo de linha de base está incompleto ou falhou inteiramente Para obter mais informações, consulte a página inicial do QRadar Network Threat Analytics não mostra nenhuma descoberta..

A guia Descobertas na página inicial mostra informações sobre as descobertas em duas visualizações diferentes:
  • Gráfico Localizando atividade ao longo do tempo
  • Tabela Descobertas
Observação:

Saiba mais sobre a guia Descobertas ...

Gráfico Localizando atividade ao longo do tempo

Mostra o número de registros de fluxo associados à descoberta. Os registros são plotados ao longo do prazo especificado na página inicial.

Tabela Descobertas

Mostra as descobertas que foram atualizadas dentro do prazo especificado na página inicial.

A pontuação de descoberta indica o desvio de linha de base relativo da descoberta, que é calculado com base nas pontuações outlier dos registros de fluxo de contribuição. Cada descoberta tem uma pontuação no intervalo de 0 a 100. Por padrão, eles são classificados por valor de pontuação, com as pontuações de classificação mais altas na parte superior. Isso torna mais fácil para você focar suas investigações no tráfego mais suspeito que o aplicativo encontrou em sua rede.

Descobertas filtros

Novo em 1.3.0

Uma lista de atributos de filtro que podem ser configurados para procurar descobertas que atendem a critérios específicos Esses filtros aplicam-se em todas as guias que exibem descobertas

Novo em 1.2.0 Para revisar descobertas que não são mais mostradas na tabela Descobertas , clique em Carregar descoberta por ID. Deve-se saber o ID de descoberta

Na tabela Descobertas , clique na seta no final da linha para abrir a página Detalhe da descoberta . Aqui, é possível ver informações agregadas sobre as comunicações de rede que contribuem para a descoberta..

Observação:

Saiba mais sobre as informações na página Detalhe da descoberta

Pontuação de análise comportamental

Indica o desvio de linha de base relativo de uma descoberta É calculado com base nas pontuações atípicas dos fluxos contribuintes.

Widget Rede

Mostra informações sobre o tráfego de rede na descoberta.

Para obter mais informações sobre a direção da comunicação de rede que foi observada, consulte Direção de fluxo.

Pontuação de análise por categoria

Mostra as características de fluxo que são agrupadas em categorias Os grupos com os maiores desvios se estendem até o perímetro externo do gráfico.

Dica: no widget Pontuação de analítica por categoria , passe o mouse sobre o nome da categoria para ver o atributo de fluxo de desvio mais alto dentro do grupo.

Mais abaixo na página Detalhe da descoberta , a guia Visualização de tabela mostra as comunicações consideradas de interesse pelo QRadar Network Threat Analytics.

Observação:

Saiba mais sobre as informações que são mostradas na guia Visualização de tabela ...

Pontuação

Cada comunicação de rede tem uma pontuação de 0 a 100. As pontuações são agregadas para derivar a Pontuação de análise comportamental para a descoberta.

Uma comunicação que tem uma pontuação de 100 nunca foi observada na rede.

Categorias divergentes

As comunicações que fazem parte da mesma descoberta provavelmente compartilham categorias de desvio. Para obter mais informações sobre os atributos dentro de cada categoria, consulte Linha de base de rede

Na guia Visualização de tabela , clique no link ID do fluxo para mostrar os registros de fluxo individuais na comunicação..

Na tabela Registros de fluxo , dê um clique na seta no final da linha para abrir a página Análise do registro de fluxo .

Alguns registros de fluxo podem mostrar 0 bytes e 0 pacotes. Esses fluxos são fluxos de conteúdo que contêm informações coletadas pelo QRadar Network Insights em níveis mais profundos de análise e extração de metadados. Os fluxos de conteúdo não incluem amostras de carga útil. Eles estão vinculados ao fluxo de dados correspondente pelo campo Flow ID.

Para obter mais informações sobre QRadar Network Insights, consulte QRadar Network Insights visão geral.