Eventos do QRadar Network Threat Analytics

As descobertas do IBM® QRadar® Network Threat Analytics podem gerar três tipos diferentes de eventos: Você pode usar esses eventos para escrever regras e criar pesquisas e relatórios.

Entender a diferença entre cada tipo de evento pode ajudá-lo a determinar quais eventos garantem mais investigação.

Anomalia de rede observada

Este tipo de evento é gerado quando o app cria uma nova descoberta depois que uma anomalia de rede potencial é descoberta.

Mais uma análise é necessária para determinar se o comportamento é verdadeiramente anômalo.

Anomalia de rede detectada

Após análise mais aprofundada, uma anomalia observada torna-se uma anomalia detectada quando o app confirma que a descoberta é verdadeiramente anômala e não um comportamento normal inédito anteriormente.

Se o comportamento for determinado como normal, mas não for visto anteriormente, ele será incluído na linha de base de rede como parte da próxima atualização planejada

Atualização de anomalia de rede

À medida que mais tráfego é analisado ao longo do tempo, os eventos de atualização são criados, indicando que uma descoberta está em andamento.

O app cria três tipos de eventos de atualização:

• Atualização de anomalia de rede (atividade contínua) indica que uma nova comunicação foi incluída em uma descoberta existente ou que novos registros de fluxo foram incluídos em uma comunicação existente que já faz parte de uma descoberta.
• Update Anomalia Update (mudança de pontuação) indica que uma pontuação de localização aumentou à medida que mais tráfego foi analisado.
• Update Anomalia Update (Mapeamento MITRE) indica que uma descoberta foi atualizada com uma nova técnica suspeita MITRE ATT & CK .