Table des Matières
Publicité
10. Dans la zone Notes, entrez les notes que vous souhaitez inclure à cette règle.
11. Sur la page Rule Responses, configurez les réponses que vous souhaitez que
12. Cliquez sur Next.
13. Vérifiez la règle configurée. Cliquez sur Finish.
Tâches de gestion des règles
Vous pouvez gérer des règles d'anomalies et des règles personnalisées.
Vous pouvez activer ou désactiver les règles, si besoin. Vous pouvez également
éditer, copier ou supprimer une règle.
Vous pouvez créer des règles de détection d'anomalies uniquement sur les onglets
Log Activity et Network Activity.
Pour gérer les règles de détection des anomalies par défaut ou précédemment
créées, vous devez utiliser la page Rules de l'onglet Offenses.
Activation et désactivation de règles
Lors du réglage de votre système, vous pouvez activer ou désactiver les règles
appropriées pour vous assurer que votre système génère des violations pertinentes
pour votre environnement.
154
IBM Security QRadar - Guide d'utilisation
4. Lisez le texte d'introduction dans l'assistant Rule. Cliquez sur Next. La règle
que vous avez choisie est sélectionnée.
5. Cliquez sur Next pour afficher la page Rule Test Stack Editor.
6. Dans la zone enter rule name here, entrez le nom unique que vous souhaitez
affecter à cette règle.
7. Pour ajouter un test à une règle :
a. Facultatif. Pour filtrer les options de la zone de liste Test Group, entrez le
texte que vous souhaitez filtrer dans la zone Type to filter.
b. Dans la zone de liste Test Group, sélectionnez le type de test que vous
souhaitez ajouter à cette règle.
c. Pour chaque test que vous souhaitez ajouter à la règle, sélectionnez le
signe + en regard du test.
d. Facultatif. Pour identifier un test comme test exclus, cliquez sur and au
début du test dans le volet Rule. Le and s'affiche comme and not.
e. Cliquez sur les paramètres configurables soulignés pour personnaliser les
variables du test.
f. Dans la boîte de dialogue, sélectionnez les valeurs pour la variable, puis
cliquez sur Submit.
8. Facultatif. Pour tester l'intégralité des propriétés cumulées sélectionnées pour
chaque groupe d'événements ou de flux, décochez la case Test the [Selected
Accumulated Property] value of each [group] separately.
9.
Dans le volet Groups, cochez les cases des groupes auxquels vous souhaitez
affecter cette règle. Pour plus d'informations, voir Gestion des groupes de
règles.
Cliquez sur Next.
cette règle génère. «Paramètres de la page Rule Response», à la page 162
Publicité
Table des Matières
