ステップ 8（オプション）：受信サービスイベントに関する通知の作成

Kaspersky CyberTrace で問題に関する通知を作成するには、アラートルールを構成します。

QRadar で Kaspersky CyberTrace からのサービスイベントに関する通知を作成するには：

1. QRadar Console を実行します。
2. ［Offenses］、［Log Activity］または［Network Activity］タブのいずれかを選択して、［Rules］を選択します。
3. ［Actions］ドロップダウンリストで、［New Event Rule］を選択します。

   

   ［Rules］ページ

   ［Rule Wizard］ページが表示されます。

4. ［Rule Wizard］ページで、［Next］をクリックして生成するルールのソースを選択します。

   

   ［Rules Wizard］ウィンドウ

5. ［Events］を選択して、［Next］をクリックします。
6. ［Rule Test Stack Editor］ページで、次の操作を実行します：
   • 新しいルールで次のテスト条件を追加します。
     • when the event(s) were detected by one or more of these log sources（イベントがこれらのログソースの 1 つ以上で検知された時）
     • when the event matches this search filter（イベントがこの検索フィルターに一致している時）
   • 指定した条件ごとに、論理 and 演算子を設定します。
   • ［when the event(s) were detected by one or more of these log sources］条件では、KL_Threat_Feed_Service_v2 に等しい［Log Source］を指定します。このイベントソースが存在しない場合、ログソースとして Kaspersky CyberTrace サービスを追加します。
   • ［when the event matches this search filter］条件では、次の操作を実行することにより、［Event Name］とイベントソース名の値を比較するためのフィルターを指定します。
     1. イベントフィールドのリストで、［Event Name］を選択します。
     2. 条件のリストで、［Equals］を選択します。
     3. ［Browse］をクリックして、ルールを作成するサービスイベントの名前を選択します。

   

   フィルターの追加

   1. ［Add+］→［Submit］の順にクリックします。

      必要なイベントが存在しない場合、QRadar 識別子（QID）リストに追加します。

   • ルールの名前を入力して、このルールを受信イベントに適用する方法を選択します（［Local］または［Global］）。［Local］および［Global］ルールの詳細は、IBM ドキュメントを参照してください。
   • ルールに必要なグループを選択します。
   • ルールの説明を追加します。

   

   ［Rule Editor］ウィンドウ

   • ［Next］をクリックします。
7. ［Rule Response］ページで、次の操作を実行します：
   • ［Notify］を選択します。
   • 必要に応じて、［Response Limiter］セクションでルールトリガーの制限を指定します。
   • ［Enable Rule］セクションをオンにします。

   

   ［Rule Editor］ページ

   • ［Next］をクリックします
8. ［Rule Summary］ページで、すべての設定が正しく指定されていることを確認して、［Finish］をクリックします。

   

   ［Rule Summary］ページ

   ルールが［Rules］リストに追加されます。

   

   ［Rules］リスト

追加されたルールにより、受信サービスイベントに関する通知が生成されます。これらの通知を閲覧するには、［Messages］ドロップダウンリストをクリックします。また通知は、QRadar Console にポップアップ通知として表示されます。

［Messages］ドロップダウンリスト

［Dashboard］タブで、通知の表示を構成できます。

［Dashboard］タブのシステム通知

［Dashboard］タブで、通知の表示を構成するには：

1. ［Dashboard］タブを選択します。
2. ［Add Item］ドロップダウンリストで、［System Notifications］を選択します。

   

   ［Dashboard］タブでのシステム通知の追加