Realizando drill down em uma descoberta do QRadar Network Threat Analytics

IBM® QRadar® Network Threat Analytics cria uma descoberta quando ele detecta comunicações de rede que se desviam do tráfego de linha de base que foi observado na rede.

Use esse fluxo de trabalho para saber como é possível realizar drill down em uma descoberta que foi levantada pelo QRadar Network Threat Analytics Esta abordagem de cima para baixo para investigar o tráfego de rede mostra como o app coleta as informações detalhadas de que você precisa para entender verdadeiramente o que está acontecendo em sua rede.

Este fluxo de trabalho é um exemplo apenas e tem o objetivo de destacar informações particulares que você pode encontrar úteis enquanto estiver analisando uma descoberta. Seu método de investigar descobertas em sua própria rede pode diferir do que é mostrado aqui.

Dica: Novo em 1.3.0

Filtre suas descobertas com a lista de atributos de filtro para que você procure descobertas que atendam critérios específicos. Esses filtros aplicam-se em todas as guias que exibem descobertas

Procedimento

  1. A página inicial do QRadar Network Threat Analytics fornece informações de alto nível sobre o tráfego que é observado na rede dentro do prazo especificado.

    A lista a seguir descreve as anotações sobre a imagem precedente.

    1. O prazo especifica o período de análise de tráfego. Ele se aplica a todos os widgets na página inicial.
    2. A primeira linha mostra algumas métricas básicas de análise de rede. A Cobertura de linha de base mostra a porcentagem de seu tráfego de rede que pode ser mapeada para a linha de base da rede

      Neste exemplo, 99% do tráfego de rede é mapeado para a linha de base, o que significa que os 1% restantes de tráfego nunca foram antes vistos no ambiente.

    3. Esses widgets mostram os aplicativos e países mais e menos comuns fora do tráfego de rede que foi observado dentro do cronograma especificado.
    4. Mova o mouse sobre diferentes áreas do mapa para visualizar informações de resumo de tráfego sobre o tráfego de e para esse país ou região.
  2. Revise a guia Descobertas para decidir qual descoberta investigar.

    Novo em 1.3.0 Filtre suas descobertas com a lista de atributos de filtro para que você procure descobertas que atendam a critérios específicos...

    A lista a seguir descreve as anotações sobre a imagem precedente.

    1. A constatação com a pontuação mais alta aparece em primeiro lugar na lista. Neste exemplo, a descoberta também tem uma técnica MITRE ATT & CK que é associada a ele para que você possa querer cavar mais fundo nesse mesmo.
    2. Clique no ID ou na seta no final da linha para visualizar as informações detalhadas sobre a descoberta..
    Nota: se o gráfico Atividade de descoberta ao longo do tempo e a tabela Descobertas não mostrarem nenhuma descoberta, consulte a página inicial do QRadar Network Threat Analytics não mostra nenhuma descoberta para explorar possíveis razões.
  3. A página Localização de detalhes fornece mais informações sobre a descoberta.

    A lista a seguir descreve as anotações sobre a imagem precedente.

    1. O Pontuação de analítica comportamental representa o significado de uma descoberta. É calculado com base nas pontuações atípicas dos fluxos contribuintes.
    2. Neste exemplo, a descoberta inclui uma técnica suspeita de MITRE ATT & CK Clique no nome da técnica para saber mais sobre ele.
    3. No widget Rede , é possível visualizar informações sobre a comunicação, incluindo a direção de fluxo.
    4. O gráfico Pontuação do Analytics por categoria mostra características de fluxo que são agrupadas em categorias.
      Dica: Hover o mouse sobre o nome da categoria para ver o atributo de fluxo desviante mais alto dentro do grupo.

      Para obter mais informações sobre os atributos dentro de cada categoria, consulte Linha de base de rede

      Os grupos com os maiores desvios se estendem até o perímetro externo do gráfico. Neste exemplo, é possível ver que o grupo Protocolo & aplicativo possui o desvio mais alto..

  4. A tabela Dados de rede mostra as comunicações de rede envolvidas na descoberta.

    A lista a seguir descreve as anotações sobre a imagem precedente.

    1. Para cada comunicação, é possível ver as categorias de desvio, que são ordenadas por sua magnitude.
    2. Cada comunicação possui uma pontuação de 0 a 100. As pontuações são agregadas para derivar a Pontuação de análise comportamental para a descoberta.
      Importante: uma comunicação de rede que tem uma pontuação de 100 nunca foi observada antes na rede
    3. Para saber mais sobre uma única comunicação, consulte o link ID do Fluxo para visualizar a lista de registros de fluxos na comunicação..
      Novo em 1.3.0 Se o registro de fluxo incluir metadados do QRadar Network Insights , será possível expandir a linha para ver quais metadados se aplicam ao registro...
  5. Para visualizar informações detalhadas sobre o registro de fluxo, na tabela Registros de fluxo , clique na seta no final da linha para abrir a página Análise de registro de fluxo .

    A lista a seguir descreve as anotações sobre a imagem precedente.

    1. O Pontuação do outlier é calculado com base no quanto o registro de fluxo se afasta da linha de base e como é raro o registro de fluxo.
    2. A Ocorrência de linha de base descreve a freqüência com que o aplicativo viu esse tipo de comunicação na rede quando a linha de base de rede foi criada

      Os valores possíveis são Comum, Rare, Muito Raree Primeiro visto.

      Passe o mouse sobre a pontuação de linha de base para ver a frequência esperada para este tipo de fluxo. Se a pontuação analítica for alta e a ocorrência de linha de base não típica, você pode decidir que o fluxo requer investigação adicional.

    3. Clique no Identificando ID para abrir a página Localização de detalhes para visualizar informações sobre a constatação de que o fluxo contribui.
    4. clique no nome da técnica Comportamental MITRE ATT & CK para visualizar mais informações sobre ele,
    5. A tabela Contribuidores de pontuação mostra as características de fluxo que contribuíram para a pontuação de outlier do fluxo.
      Alguns atributos de fluxo contribuem mais do que outros, e o comprimento da barra indica a contribuição relativa do atributo para a pontuação do valor discrepante.
      • Uma barra de status verde indica que o valor para os atributos está dentro do intervalo normal quando comparado com a linha de base de rede, mas o valor do atributo contribuiu para a pontuação de valor discrepante...

        Atributos não desviantes ainda contribuem para a pontuação de valor discrepante, mesmo que estejam dentro do intervalo normal localizado na linha de base da rede.

      • Uma barra de status roxa indica que o valor se desvia do que era esperado.
  6. Na página Análise de dados de registro de fluxo , role para baixo para visualizar a tabela Propriedades do registro de fluxo .

    Use esta tabela para ver como os atributos de fluxo são comparados com os valores da linha de base