Criando modelos usando a ferramenta Mapeamento de caso

Use a Ferramenta de Mapeamento de Caso para criar modelos customizados que informem ao app IBM® QRadar® SOAR Plug-in como mapear os campos de ofensa do QRadar para os campos de caso SOAR .

Antes de iniciar

Você deve saber como gravar expressões de filtro usando o idioma do modelo Jinja2 . Para saber mais, consulte Filtrar expressões.

Procedimento

  1. Na guia QRadar Admin , na seção IBM QRadar SOAR Plugin , clique em Configuração.
  2. Clique na guia Escalação e clique em Construir um novo modelo.

    A lista de campos que podem ser usados para construir seu modelo é automaticamente recuperada do SOAR

  3. No campo nome do modelo , digite um nome descritivo para o modelo.
  4. Para cada campo que deseja mapear, digite a expressão de filtro Jinja2 .

    Um asterisco vermelho próximo a um campo indica que o campo é obrigatório.

    Dica: O ícone de atualização que aparece próximo ao campo indica que o campo é atualizado cada vez que a ofensa é atualizada. Se você não desejar que o campo seja atualizado, clique no ícone de atualização para bloqueá-lo,
  5. Na seção Gerar Artefatos , selecione os campos de ofensa dos quais você deseja criar artefatos automaticamente.
    1. Selecione a caixa de seleção para cada tipo de campo de ofensa que deseja incluir.
    2. Para cada tipo de dados de ofensa, marque a caixa de seleção Aplicar Lista Ignorada se você desejar excluir endereços específicos da criação de artefatos

      Os endereços que você deseja ignorar devem fazer parte de um conjunto de referência

      Dica: O nome do conjunto de referência a ser ignorado é especificado na guia Escalação .
  6. Na seção Criar artefatos adicionais , inclua suas próprias definições para criar artefatos.

    Apenas os campos de ofensa normalizados podem ser usados para criar artefatos

  7. Clique em Modelo de Teste
    1. Selecione Renderizar Somente Teste para validar apenas os mapeamentos de campo.
    2. Selecione Renderizar e enviar incidente simulado para validar os mapeamentos de campo e enviar um caso simulado para a plataforma SOAR .
      Importante: para criar um caso simulado, a função de usuário SOAR ou a chave de API deve ter Permissões de simulação especificadas nas configurações de administração SOAR .
  8. Clique em Salvar Modelo.
    Um arquivo de modelo é gerado com base nas definições de nome e de mapeamento de campo definidas.