Otimizando seu sistema QRadar

Para obter os melhores resultados no QRadar® Advisor with Watson, é possível otimizar o IBM® QRadar revisando a configuração de mapeamento customizado e revisando as origens de log usadas pelo QRadar Advisor with Watson.

Antes de iniciar

Você deve ter privilégios de administrador do QRadar para otimizar seu sistema QRadar .

Sobre esta tarefa

O app QRadar Advisor with Watson não extrai valores de cargas úteis de evento ou de fluxo; em vez disso, ele depende das propriedades customizadas e das propriedades padrão definidas do QRadar Para melhorar a qualidade de seus resultados, revise as propriedades customizadas e as origens de log usadas pelo QRadar Advisor with Watson.

Procedimento

No menu de navegação ( ), clique em Administrador.
Na seção Apps, em QRadar Advisor with Watson, clique em Configuração
Clique em Configurações Opcionais para abrir a página de menu do Configurações Opcionais
Clique em Otimizar.
Clique em Executar Relatório.
Por padrão, é ativada a soma dos eventos que têm as propriedades mapeadas e também estão nas ofensas. Clique em Em ofensas para desativar a alternância e mostrar todos os eventos que têm propriedades mapeadas, mas não necessariamente estão nas ofensas.
Revise as origens de log e verifique se todas as origens de log esperadas estão presentes. Se uma origem de log não estiver listadas ou não tiver um número substancial de eventos que são usados por QRadar Advisor with Watson, isso indica que mais mapeamentos são necessários.
Na seção Mapeamento de propriedade, revise todas as propriedades customizadas que foram incluídas ou modificadas desde que o assistente de configuração foi executado pela última vez.
Se ainda houver propriedades não mapeadas, elas serão listadas.
Clique no ícone ao lado da propriedade que você deseja mapear para o aplicativo usar.
Selecione um nome canônico na lista, em seguida, clique em Incluir.
Clique em Concluir.