IBM QRadar: ログソース監視のためのルール作成方法

[post-views]
12月 13, 2024 · 2 分で読めます
IBM QRadar: ログソース監視のためのルール作成方法
カスタムルールを作成する
ログが任意のログソースから届かなくなったときに攻撃を生成するか通知を送るカスタムルールを作成できます。
  1. ルールセクションに移動：
    • 移動先 オフェンス > ルール.
    • をクリック アクション > 新しいイベントルール.

次にあなたは ルールウィザード ウィンドウ。
このステップでは、デフォルトパラメータを使用します。

その後、最終的にルールの主な設定が表示されます。
2. ルール条件を定義する：
     ステップ：
  • ルールエディタで、 テストグループ をクリックし、ドロップダウンリストから ログソーステスト
  • を検索し、パラメータ『イベントが検出されなかったときに』.
  • 『これらのログソースのうち』を設定し および『この多く』」（例：10分（秒単位で設定））。

例えば、スクリーンショットでは、ルール名を test_wather とし、「イベントが1つ以上のSRV-WIN-XXXによって6000秒間検出されなかった場合」を選択して グループ “システム』 を追加し メモ「ログソース監視“:

3. ルールにレスポンスを追加する：
  • 下にある レスポンス タブで、イベントがこのルールをトリガーしたときに行うレスポンスを選びます。
    • をクリック 宛先を管理
    • 開いたウィンドウでクリック 追加： 新しい宛先を追加するために。
    • 開いているウィンドウで 転送先の特性：宛先を設定 し、クリック 保存。例えば、スクリーンショットでは、tcpプロトコルを使用してサーバーに宛先を設定しました。 

その後、作成した 宛先を確認できます。 それを選択し、クリック 完了

今、 オフェンスに、 作成したルールを確認できます。例えば、スクリーンショットでは、ルールtest_watherを作成しました。

今、ログソースが停止した場合、それに関するメッセージが表示されます。例えば、スクリーンショットでは、ルールがサーバーにtcpプロトコルでメッセージを送信します。 

この記事は役に立ちましたか？

いいねと共有をお願いします。
SOCプライムのDetection as Codeプラットフォームに参加してください ビジネスに最も関連する脅威の可視性を向上させるために。開始をお手伝いし、即時の価値を提供するために、今すぐSOCプライムの専門家とミーティングを予約してください。
無料で参加 ミーティングを予約

関連記事