É possível escalar ofensas automaticamente ou escalá-las manualmente de dentro do IBM® QRadar®.
Antes de iniciar
As escalações automáticas são executadas com relação a ofensas abertas novas e existentes no QRadar quando o aplicativo é instalado pela primeira vez
Importante: Se você não criar um caso para todas as ofensas abertas que correspondam aos critérios de escalação, feche quaisquer ofensas abertas que correspondam aos critérios de escalação antes de ativar a escalação automática
Sobre esta tarefa
A guia Escalação possui configurações para configurar como as ofensas são enviadas para o SOAR
Procedimento
- Na guia QRadar Admin , na seção IBM QRadar SOAR Plugin , clique em Configuração.
- Na guia Escalações , defina as configurações.
- Na seção Arquivo de Modelo , escolha o modelo a ser usado
O modelo especifica como os campos do mapa de ofensa do QRadar para os campos de caso SOAR .
Para obter mais informações, consulte Mapeamento de modelo
- Na seção Artefatos ignorados , especifique os conjuntos de referência que contêm endereços IP que você não deseja usar para criar artefatos.
Por exemplo, é possível incluir todos os endereços IP de sistemas internos em um conjunto de referência e, em seguida, usar esse conjunto de referência para construir uma lista para ignorar a criação de artefato.
- Na seção Escalations (Escalonamentos ), selecione um Artifact Limit (Limite de artefato ).
Toda vez que o caso é criado ou precisa ser atualizado, o Limite de artefatos aplica um teto ao número de artefatos enviados ao SOAR. O limite se aplica separadamente aos artefatos de endereço IP de origem e destino. O valor
padrão é 20. Poderá ser enviado um número menor do que o limite se houver uma sobreposição entre os dados em uma atualização e os artefatos IP existentes no SOAR.
- Na seção Escalonamentos, selecione Número de threads de artefato.
Essa configuração define o número máximo de solicitações simultâneas que o plug-in faz para atualizar um caso no SOAR. Se os manuais de artefatos forem usados para atualizar o objeto de caso, esse valor deverá ser definido como 1.
- Na seção Escalations (Escalonamentos ), selecione Maximum Number Of Artifacts Per Payload (Número máximo de artefatos por carga útil ).
Essa configuração define o número máximo de artefatos permitidos para cada carga útil de atualização de caso.
O plug-in fará uma série de solicitações ao SOAR para adicionar os artefatos a um caso. Cada carga útil de solicitação contém no máximo os artefatos do "Número máximo de artefatos por carga útil". Valores menores são preferíveis.
- Na seção Condições de escalação automática , inclua uma regra de escalação especificando as condições da regra e o modelo a ser usado.
Para campos de ofensa que possuem valores de número inteiro, como gravidade, magnitude, credibilidade e contagem de dispositivo, a regra é correspondida no valor exato fornecido no campo Expressão de correspondência de valor .
Para obter mais informações sobre a maneira como os escalonamentos automáticos funcionam, consulte Escalonamentos automáticos.
- Na seção Additional Escalation Options (Opções adicionais de escalonamento ), selecione Allow offense updates (Permitir atualizações de ofensas) para criar casos SOAR.
Com essa opção, qualquer mensagem de atualização de ofensa que não encontre um caso SOAR correspondente no site QRadar Offense é vista como uma solicitação case_create .
- Na seção Modo de escalação manual , selecione o método de criação de casos.
Importante: se Suporte de diversas organizações estiver ativado, essa configuração se aplicará a todos os domínios do QRadar .
- Escolha Criar incidentes imediatamente na escalação para enviar a ofensa diretamente para SOAR.
- Escolha Revisar incidentes antes da escalada para revisar os detalhes do caso antes que a ofensa seja escalada para SOAR.
Com essa opção, os IDs de endereço IP não são convertidos como artefatos durante o processo de criação de caso Em vez disso, no ciclo de atualização a seguir, se houver endereços IP para converter de IDs, eles serão mapeados como artefatos até o limite especificado pelo usuário.
Com qualquer opção, o caso é criado e é possível editá-lo em SOAR.
- Clique em Salvar.
Você deve salvar a configuração para incluir as regras de escalação no QRadar.
- Clique em Verificar e Configurar.
O que fazer a seguir
Configure as opções na guia Preferências Para obter mais informações, consulte Ações personalizadas.
