Criando modelos manualmente

Na maioria dos casos, os modelos gerados pelo Modelo de Mapeamento de Caso são suficientes. No entanto, talvez você queira usar um modelo mais avançado. É possível usar o Modelo de Mapeamento de Caso para modificar um modelo existente e aproximá-lo do que você deseja e, em seguida, fazer download e modificá-lo.

Antes de iniciar

Você deve saber como gravar expressões de filtro que usam a linguagem de modelo Jinja2 . Para saber mais, consulte Filtrar expressões.

Sobre esta tarefa

O modelo é processado como um documento JSON. O documento é postado na plataforma SOAR para criar um novo caso ou é convertido em um URL com parâmetros de valor-chave no formato SOAR web URL. Para obter mais informações, consulte o Guia de Integração do Web URL.

Procedimento

  1. Na guia QRadar Admin , na seção IBM QRadar SOAR Plugin , clique em Configuração.
  2. Clique na guia Escalada .
  3. Opcional: Use o Modelo de Mapeamento de Caso para modificar um modelo existente.
    1. Selecione um modelo na lista e clique em Modificar.

      Para obter mais informações sobre como usar o Modelo de Mapeamento de Caso, consulte Criando modelos usando a ferramenta Mapeamento de Caso.

  4. Para fazer download de um modelo existente e editá-lo manualmente, siga estas etapas:
    1. Na guia QRadar Admin , na seção IBM QRadar SOAR Plugin , clique em Configuração.
    2. Na guia Escalada , na seção Arquivos de Modelo , selecione o modelo com o qual deseja iniciar e clique em Download.
    3. Usando um aplicativo editor de texto, abra o arquivo JSON que você transferiu por download e edite-o.
  5. Para criar um novo modelo do zero, siga estas etapas:
    1. Usando um editor de texto, crie um novo arquivo de texto sem formatação
    2. Crie a especificação do modelo de mapeamento de caso usando a linguagem de modelo Jinja2 .

      Assegure-se de que os nomes de variáveis e as designações de sequência estejam entre aspas duplas.

      No exemplo a seguir, o modelo é modificado para suportar o mapeamento do campo Tipo de incidente para valores diferentes com base na descrição da ofensa.

      {
"name": "QRadar {{offense.offense_type_name}} - {{offense.offense_source}}, ID:
{{offense.id}}",
{# Set incident id from description #}
{% if "malware" in offense.description %}
"incident_type_ids": "Malware",
{% else %}
"incident_type_ids": "Other",
{% endif %}
"confirmed": 0,
"description" : "{{offense.event_count}} events in {{offense.category_count}} categories:
{{offense.description}}",
    "discovered_date": {{offense.start_time}},
    "start_date": {{offense.start_time}},
    "severity_code" : {{offense.severity | severity}}
}
"type": "IP Address",
"value": "{{e.sourceip|js}}",
"description": "Source {{e.sourceip|js}}" } {% if not loop.last %},{% endif %}
    {% endfor %} ]
}
FROZEN="incident_type_ids","name","start_date","confirmed","discovered_date"
    3. Salve o arquivo com uma extensão .json ..
  6. Para fazer upload do modelo revisado de volta para o aplicativo QRadar SOAR Plug-in , siga estas etapas:
    1. Na guia Escalação , na seção Arquivos de modelo , clique em Fazer upload de um modelo.
    2. Navegue até o arquivo e clique em Fazer upload
    3. Para testar o modelo, selecione-o na lista, clique em Modificar e, em seguida, clique em Modelo de Teste.