Filtrage des règles et des blocs modulaires en fonction de leurs propriétés
Si vous souhaitez filtrer par tactiques MITRE ATT&CK, vous devez d’abord mapper vos règles aux tactiques et techniques MITRE. Pour plus d’informations, reportez-vous à la section Modification des mappages MITRE dans une règle ou un bloc modulaire.
Ajustez vos règles ou blocs de construction en filtrant leurs attributs, tels que le type, l’origine, le groupe, etc. Vous pouvez également ajuster les règles ou les blocs modulaires en les filtrant en fonction de leurs définitions de test. Par exemple, vous pouvez ajouter un test qui correspond uniquement aux événements d’une source de journal spécifique. Examinez et améliorez votre couverture MITRE ATT&CK en filtrant vos règles en fonction de leurs correspondances avec les tactiques et techniques.
Plus vous appliquez de filtres aux règles, plus la liste des résultats que vous obtenez est affinée. QRadar Le Gestionnaire de cas d’utilisation utilise la condition OU dans les options d’un groupe de filtres et utilise la condition ET dans plusieurs groupes de filtres. La seule exception à la règle se trouve dans le groupe de filtres Autres tests , où la condition AND est utilisée pour plusieurs options de ce groupe de filtres. Toute colonne sur laquelle vous pouvez filtrer peut également être ajoutée au rapport de règles via la fonction de sélection de colonne (icône d’engrenage).
Lorsque vous sélectionnez des filtres, les balises de filtre non appliquées apparaissent dans la ligne des filtres avec un arrière-plan de couleur plus claire. Une fois que vous avez appliqué les filtres, les balises passent à un arrière-plan de couleur plus foncée.