Alarmes de filtro para LogRhythm
Definir critérios de filtragem para alarmes depois de mapear campos ajuda a determinar quais alarmes devem ser ingeridos na aplicação SIR. A filtragem de alarmes ajuda a reduzir significativamente o número de alarmes que você ingerem quando o perfil de alarme é ativado.
Antes de Iniciar
Função necessária: sn_si.admin
Por Que e Quando Desempenhar Esta Tarefa
Use as condições de filtragem na parte inferior do formulário de mapeamento para filtrar alarmes específicos ou limitar a ingestão a somente alarmes que atendam a determinados critérios de nível de campo. A filtragem reduz significativamente o número de alarmes que você ingere quando o perfil de alarme é ativado. Use a filtragem para ingerir uma quantidade gerenciável de alarmes que sua equipe do Centro de operações de segurança (SOC) pode oferecer suporte.
Nota:
O exemplo a seguir mostra uma configuração de filtro padrão na qual Alarme status-does-not-contains-closed é a configuração padrão. Este filtro extrai somente alarmes ativos, e esta configuração reduz o número de alarmes extraídos. As etapas a seguir ilustram como adicionar outro filtro útil que inclui somente alarmes com os valores de gravidade ou prioridade mais altos.
Procedimento
-
Para editar os critérios de filtragem, selecione Filtro com base em condições caixa de seleção.
-
Na nova linha exibida, selecione as condições de filtragem nas listas de seleção.
A imagem a seguir mostra um filtro adicional adicionado aos critérios nos quais a prioridade baseada em risco ( RBP máx ) é maior que 50 . Somente com esta configuração de filtro LogRhythm alarmes com um valor de prioridade baseado em risco maior que 50 são extraídos.
O que Fazer Depois
A próxima etapa é visualizar os campos mapeados no incidente de segurança. Consulte Visualizando o incidente de segurança com mapeado LogRhythm valores de alarme.