Introdução ao app QRadar Advisor with Watson

Para que os recursos nos produtos IBM® QRadar® funcionem corretamente. revise a tabela para melhorar a sua implementação do QRadar

O app QRadar Advisor with Watson depende de dados em sua implementação de QRadar Para obter as melhores informações do site QRadar Advisor with Watson, considere a possibilidade de ajustar a implantação do site QRadar .

Nota: o app QRadar Use Case Manager pode ajudá-lo a ajustar seu sistema QRadar . Para obter mais informações, consulte QRadar Use Case Manager..

A tabela a seguir inclui uma lista de itens que você deve considerar ajustes para melhorar a qualidade de suas investigações QRadar Advisor with Watson .

Tabela 1. Ajustando a implementação e o processo QRadar
Problema	Solução
O Advisor depende da normalização do QRadar.	O aplicativo QRadar Advisor with Watson usa propriedades padrão e propriedades customizadas do QRadar quando ele extrai dados de eventos e fluxos. Se observáveis importantes estão na carga útil, você deve verificar se eles estão sendo extraídos em propriedades customizadas e, em seguida, mapear essas propriedades no app QRadar Advisor with Watson . Mapeando propriedades customizadas Propriedades de fluxo e evento customizado
Propriedades customizadas ociosas causam problemas.	Assegure-se de que uma propriedade customizada funcione corretamente para todos os tipos de eventos em suas origens de log. Por exemplo, se sua propriedade customizada de hash de arquivo obtiver dados incorretos nele para alguns eventos, e funcionar para outros, a qualidade de seus resultados de investigação no app QRadar Advisor with Watson pode sofrer.
O Advisor requer mapeamento customizado	O app QRadar Advisor with Watson requer mapeamentos além das propriedades personalizadas padrão do app. Se você só usou os mapeamentos padrão depois de instalar, sua análise QRadar Advisor with Watson pode estar perdendo uma parte significativa do contexto local. Você deve aumentar seus mapeamentos QRadar Advisor with Watson . Mapeando propriedades customizadas
Defina e atualize sua hierarquia de rede em seu sistema QRadar.	O app QRadar Advisor with Watson precisa saber quais endereços IP são locais e quais endereços IP não fazem parte de sua rede local. Se sua rede mudou, por exemplo, você incluiu uma sub-rede, certifique-se de que sua hierarquia de rede do QRadar ainda esteja exata. Hierarquia de Rede
Defina os pesos de ativos no perfil de ativo do QRadar.	O app QRadar Advisor with Watson usa pesos de ativos do perfil de ativo no QRadar. Certise-se de que o peso do ativo no perfil de ativo QRadar é preciso. Incluindo ou editando um perfil de ativo
A precisão de regra de CRE afeta o Advisor.	Se as regras do CRE estiverem falhando ao serem acionadas, a precisão do MITRE ATT&CK do app QRadar Advisor with Watson pode sofrer. Adicionalmente, regras que descontraem e criam ofensas podem causar problemas com o app QRadar Advisor with Watson . Revise e ajuste as regras periodicamente. QRadar de ajuste Diretrizes para ajuste de desempenho do sistema
O Advisor usa blocos de construção de definição de host (BB:HostDefinition).	O app QRadar Advisor with Watson , os mapeamentos MITRE ATT & CK, e as regras do CRE dependem de hosts que fornecem funções específicas, como servidores DNS e servidores DHCP, são definidos com precisão em QRadar blocos de construção. Revisando os blocos de construção
Instale e configure o appUBA para ver informações do usuário.	Se o app User Behavior Analytics for instalado,QRadar Advisor with Watson usa conjuntos de referência de UBA e UBA pontuações de risco. Se tanto o app QRadar Advisor with Watson quanto o app UBA estiverem instalados, você poderá iniciar uma investigação específica do usuário. User Behavior Analytics for QRadar
QRadar avisos do sistema causam problemas.	Antes de instalar o app QRadar Advisor with Watson , preste atenção nas advertências do sistema QRadar e fixe-as. Eles podem impedir que o aplicativo funcione corretamente. QRadar notificações do sistema
QRadar instalações de correção não devem ser combinadas com instalações QRadar Advisor with Watson .	Não combine as instalações de correção QRadar Advisor with Watson e as instalações QRadar Advisor with Watson ao mesmo tempo. Isso torna as questões de depuração com QRadar Advisor with Watson mais desafiadoras. Conclua a atualização de correção do QRadar, dedique algum tempo ao novo nível de correção para assegurar que ele esteja funcionando bem e só então instale ou faça upgrade do aplicativo QRadar Advisor with Watson.
O consultor usa QRadar motivos de fechamento de ofensa.	Considere incluir algumas razões de fechamento que façam sentido para o seu fluxo de trabalho (por exemplo, "Escalado para Resposta de Incidente" ou "Ajuste de regra de CRE necessário") e assegure-se de que todos os seus usuários e scripts do QRadar que fecham ofensas selecionem o Motivo de Fechamento do QRadar apropriado quando estiverem fechando uma ofensa. Razões customizadas para encerramento de ofensas
O Advisor depende de valores de conjunto de referência adequados das propriedades customizadas de antivírus.	O bloqueio anti-vírus do app QRadar Advisor with Watson e o destaque do gráfico de execução depende de valores de conjunto de referência adequados a partir de propriedades customizadas anti-vírus. Mostrando hashes de malware e de arquivo executados e bloqueados