Configurando o aplicativo QRadar Network Threat Analytics

Após instalar o app IBM® QRadar® Network Threat Analytics , deve-se configurá-lo para incluir o token de serviço autorizado que é usado para autenticação com o QRadar.

Imediatamente após o app QRadar Network Threat Analytics ser configurado com o token de serviço autorizado, o processo de referência é iniciado. O aplicativo revisa todos os dados de fluxo existentes e cria uma linha de base de rede com relação à qual todos os futuros registros de fluxo são comparados Quando a sua implementação tem muitos registros de fluxos, a linha de base é mais representativa dos tipos de tráfego de fluxo que geralmente são observados em sua rede

Importante: o tempo necessário para criar a linha de base de rede depende do volume e da complexidade dos dados de rede e do desempenho de sua instância do QRadar . O indicador de status da linha de base de rede na página Configuração do aplicativo aproxima o progresso.. Isso pode levar muito tempo para ser concluído.

Antes de iniciar

Você deve ter efetuado login como administrador.

Deve-se ter um token de segurança QRadar configurado com o perfil de segurança e a função de usuário Admin . Para obter mais informações, consulte Criando um token de serviço autorizado.

Assegure-se de que sua implementação do QRadar tenha pelo menos uma semana de dados de fluxo contínuo.

Procedimento

Clique na aba Análise De Ameaça De Rede .
Na janela Aplicativo não configurado , clique em Admin > Network Threat Analytics > Configurações.

Se você não ver o link, certifique-se de estar conectado com privilégios de administrador.
No campo Token de serviço autorizado , forneça o token QRadar .

Opcional: Configure o restante das configurações do aplicativo.

Configuração	Descrição
Intervalo de tempo padrão	Refere-se ao prazo que é configurado para o aplicativo quando ele é carregado pela primeira vez. Dependendo da quantidade de tráfego da sua rede, é possível configurar essa configuração para adequar a quantidade de tráfego que você deseja recuar.
Guia de dados da rede padrão	Novo em 1.2.0 Selecione qual visualização é mostrada quando a página Dados de rede é aberta pela primeira vez
Latitude padrão para coordenadas desconhecidas	Novo em 1.2.0 Configura o local latitudinal para o tráfego categorizado como Local desconhecido. Todo o tráfego de rede que não se encaixa na hierarquia de rede definida, ou o tráfego que tem um endereço IP que não tem uma localização geográfica conhecida, é agrupado. Na visualização de mapa, o tráfego desconhecido parece originar de um local comum.
Longitude padrão para coordenadas desconhecidas	Novo em 1.2.0 Configura o local longitudinal do tráfego que é categorizado como Local desconhecido.
Pontuação de geração de eventos	Configura a pontuação mínima necessária para que uma descoberta crie um evento. Você pode alterar esta pontuação para que os eventos sejam gerados apenas para as mais altas achadas de pontuação no sistema.
Retenção de descobertas	Configura o número de dias para armazenar as descobertas

Clique em Enviar.

Resultados

O token de serviço autorizado é aplicado e o processo de referência é iniciado. O QRadar Network Threat Analytics não precisa permanecer aberto durante o processo de linha de base

Cada vez que você envia uma mudança na configuração, o status da linha de base muda brevemente para Recuperando status. Essa mensagem aparece a qualquer momento em que você envia uma mudança na configuração, mesmo quando a linha de base não é afetada

O que fazer a seguir

As descobertas não aparecem na página inicial até que o processo de linha de base seja concluído.. Durante esse tempo, é possível usar a interface do produto para explorar fluxos.. Após a conclusão da primeira linha de base, é possível explorar descobertas e novos fluxos que são pontuados com relação à linha de base, mesmo quando a linha de base de rede está sendo atualizada.

Se necessário, é possível desinstalar o aplicativo com segurança enquanto o processo de linha de base está em andamento A linha de base de rede não é preservada e o processo é iniciado novamente quando você reinstala o aplicativo