IBM Security QRadar Version Guide d'utilisation

Transcription

1 IBM Security QRadar Version Guide d'utilisation

2 Important Aant d'utiliser le présent document et le produit associé, prenez connaissance des informations générales figurant à la section «Remarques», à la page 233. LE PRESENT DOCUMENT EST LIVRE EN L'ETAT SANS AUCUNE GARANTIE EXPLICITE OU IMPLICITE. IBM DECLINE NOTAMMENT TOUTE RESPONSABILITE RELATIVE A CES INFORMATIONS EN CAS DE CONTREFACON AINSI QU'EN CAS DE DEFAUT D'APTITUDE A L'EXECUTION D'UN TRAVAIL DONNE. Ce document est mis à jour périodiquement. Chaque nouelle édition inclut les mises à jour. Les informations qui y sont fournies sont susceptibles d'être modifiées aant que les produits décrits ne deiennent eux-mêmes disponibles. En outre, il peut contenir des informations ou des références concernant certains produits, logiciels ou serices non annoncés dans ce pays. Cela ne signifie cependant pas qu'ils y seront annoncés. Pour plus de détails, pour toute demande d'ordre technique, ou pour obtenir des exemplaires de documents IBM, référez-ous aux documents d'annonce disponibles dans otre pays, ou adressez-ous à otre partenaire commercial. Vous pouez également consulter les sereurs Internet suiants : (sereur IBM en France) (sereur IBM au Canada) (sereur IBM aux Etats-Unis) Compagnie IBM France Direction Qualité 17, aenue de l'europe Bois-Colombes Cedex Copyright IBM France Tous droits réserés. Copyright IBM Corporation 2012, 2013.

3 Table des matières Ais aux lecteurs canadiens ix A propos de ce guide xi Chapitre 1. A propos de QRadar SIEM Naigateurs Web pris en charge Actiation du mode document et du mode naigateur dans Internet Explorer Accès à IBM Security QRadar Onglets d'interface utilisateur Onglet Dashboard Onglet Offenses Onglet Log actiity Onglet Network Actiity Onglet Assets Onglet Reports IBM Security QRadar Risk Manager Onglet Admin Procédures communes de QRadar Affichage des messages Tri de résultats Actualisation et mise en pause de l'interface utilisateur Analyse des adresses IP Etude des noms d'utilisateurs Heure système Mise à jour des détails de l'utilisateur Accès à l'aide en ligne Redimensionnement des colonnes Configurer la taille de page Chapitre 2. Gestion du tableau de bord Tableaux de bord par défaut Tableaux de bord personnalisés Personnaliser otre tableau de bord Recherche de flux Violations Actiité de journal Rapports les plus récents Récapitulatif système Risk Manager Eléments Vulnerability Management Notification de sytème Centre de documentation de menaces Internet Création d'un tableau de bord personnalisé Utilisation du tableau de bord pour analyser l'actiité réseau ou de journal Configuration des graphiques Suppression d'éléments de tableau de bord Détachement d'un élément de tableau de bord Renommage d'un tableau de bord Suppression d'un tableau de bord Gestion des notifications système Ajout d'éléments de tableau de bord basés sur des recherches à la liste Add Items Chapitre 3. Gestion des iolations Présentation des iolations Copyright IBM Corp. 2012, 2013 iii

4 Prise en compte des autorisations de iolation Termes clés Conseration des iolations Sureiller les iolations Sureillance des pages All Offenses ou My Offenses Sureillance des iolations groupées par catégorie Sureillance des iolations groupées par IP source Sureillance des iolations groupées par IP de destination Sureillance des iolations groupées par réseau Tâches de gestion des iolations Ajout de notes Masquage des iolations Affichage des iolations masquées Fermeture des iolations Protection des iolations Annulation de la protection des iolations Exportation de iolations Affectation de iolations aux utilisateurs Enoi de notification par Marquage d'un élément pour suii Fonctions de la barre d'outils de l'onglet Offense Paramètres de iolations Chapitre 4. Étude de l'actiité du journal Présentation de l'onglet Log actiity Barre d'outils de l'onglet Log actiity Syntaxe Quick Filter Options de menu contextuel Barre d'état Sureillance de l'actiité de journal Affichage des éénements de diffusion en flux Affichage des éénements normalisés Affichage des éénements bruts Affichage d'éénements groupés Détails d'éénement Barre d'outils des détails d'éénements Affichage des iolations associées Modification de mappage d'éénement Réglage des faux positifs Gestion des données PCAP Affichage de la colonne de données PCAP Affichage des informations PCAP Téléchargement du fichier PCAP sur otre système de bureau Exportation d'éénements Chapitre 5. Etude de l'actiité réseau Présentation de l'onglet Network Actiity Barre d'outils de l'onglet Network Actiity Syntaxe de filtre rapide Options du menu contextuel Barre d'état Enregistrements des dépassements Sureillance de l'actiité de journal Affichage des flux en continu Affichage des flux normalisés Affichage des flux regroupés Détails de flux Barre d'outils des détails de flux Réglage des faux positifs Exportation de flux i IBM Security QRadar - Guide d'utilisation

5 Chapitre 6. Gestion des graphiques Gestion des graphiques Présentation des graphiques de série temporelle Légendes des graphiques Configuration des graphiques Chapitre 7. Recherche des données Recherche d'éénements et de flux Recherche d'éléments correspondant à os critères Sauegarde des critères de recherche Recherches de iolations Recherche de iolations dans les pages My Offenses et All Offenses Recherche de iolations dans la page By Source IP Recherche de iolations dans la page By Destination IP Recherche de iolations dans la page By Networks Sauegarde de critères de recherche sur l'onglet Offenses Suppression des critères de recherche Utilisation d'une sous-recherche pour affiner les résultats de recherche Gestion des résultats de recherche Sauegarde des résultats de recherche Affichage des résultats de recherche gérés Annulation d'une recherche Suppression d'une recherche Gestion des groupes de recherche Affichage des groupes de recherche Création d'un groupe de recherche Edition d'un groupe de recherche Copie d'une recherche sauegardée ers un autre groupe Suppression d'un groupe ou d'une recherche sauegardée dans un groupe Chapitre 8. Propriétés d'éénements et de flux personnalisés Autorisations obligatoires Types de propriétés personnalisées Création d'une propriété personnalisée basée sur une expression régulière Création d'une propriété personnalisée basée sur le calcul Modification d'une propriété personnalisée Copie d'une propriété personnalisée Suppression d'une propriété personnalisée Chapitre 9. Gestion des règles Prise en compte des droits de règle Présentation des règles Catégories de règles Types de règles Conditions de règles Réponses à la règle Affichage des règles Création d'une règle personnalisée Création d'une règle de détection des anomalies Tâches de gestion des règles Actiation et désactiation de règles Edition d'une règle Copie d'une règle Suppression d'une règle Gestion de groupe de règles Affichage d'un groupe de règles Création d'un groupe Affectation d'un élément à un groupe Edition d'un groupe Copie d'un élément ers un autre groupe Table des matières

6 Suppression d'un élément d'un groupe Suppression d'un groupe Edition d'éléments structurants Paramètres de la page de règles Rules page toolbar Paramètres de la page Rule Response Chapitre 10. Paramètres de la page Asset profile Asset profiles A propos des ulnérabilités Présentation de l'onglet Assets Liste de l'onglet Asset Options de menu contextuel Affichage d'un profil d'actif Ajout ou édition d'un profil d'actif Recherche de profils d'actifs Sauegarde des critères de recherche d'un actif Groupes de recherche d'actifs Affichage des groupes de recherche Création d'un groupe de recherche Edition d'un groupe de recherche Copie d'une recherche sauegardée ers un autre groupe Suppression d'un groupe ou d'une recherche sauegardée dans un groupe Tâches de gestion des profils d'actif Suppression des actifs Importation de profils d'actif Exportation des actifs Recherche de ulnérabilités pour l'actif Paramètres de la page Asset profile Volet Asset Summary Volet Network Interface Summary Volet Vulnerability Volet Serices Volet Windows Serices Volet Packages Volet Windows Patches Volet Properties Volet Risk Policies Volet Products Chapitre 11. Gestion de rapports Barre d'état Présentation de rapport Types de graphique Barre d'outils de l'onglet Report Types de graphique Création de rapports personnalisés Edition d'un rapport Affichage de rapports générés Suppression du contenu généré Génération manuelle d'un rapport Duplication d'un rapport Partage d'un rapport Personnalisation de rapports Groupe de rapports Création d'un groupe de rapports Modification d'un groupe Affectation d'un rapport à un groupe Copie d'un rapport ers un autre groupe Suppression d'un rapport i IBM Security QRadar - Guide d'utilisation

7 Conteneur de graphique Paramètres de conteneur du graphique Asset Vulnerabilities Paramètres du conteneur de graphiques Eénements/Journaux Paramètres du conteneur de graphiques de flux Paramètres du conteneur de graphiques Top Source IPs Paramètres du conteneur de graphiques Top Offenses Paramètres du conteneur de graphiques Top Destination IPs Remarques Marques Remarques sur les règles de confidentialité Glossaire A C D F G H I J L M N O P R S T V Index Table des matières ii

8 iii IBM Security QRadar - Guide d'utilisation

9 Ais aux lecteurs canadiens Le présent document a été traduit en France. Voici les principales différences et particularités dont ous deez tenir compte. Illustrations Les illustrations sont fournies à titre d'exemple. Certaines peuent contenir des données propres à la France. Terminologie La terminologie des titres IBM peut différer d'un pays à l'autre. Reportez-ous au tableau ci-dessous, au besoin. IBM France ingénieur commercial agence commerciale ingénieur technico-commercial inspecteur IBM Canada représentant succursale informaticien technicien du matériel Claiers Les lettres sont disposées différemment : le claier français est de type AZERTY, et le claier français-canadien de type QWERTY. OS/2 et Windows - Paramètres canadiens Au Canada, on utilise : les pages de codes 850 (multilingue) et 863 (français-canadien), le code pays 002, le code claier CF. Nomenclature Les touches présentées dans le tableau d'équialence suiant sont libellées différemment selon qu'il s'agit du claier de la France, du claier du Canada ou du claier des États-Unis. Reportez-ous à ce tableau pour faire correspondre les touches françaises figurant dans le présent document aux touches de otre claier. Copyright IBM Corp. 2012, 2013 ix

10 Breets Il est possible qu'ibm détienne des breets ou qu'elle ait déposé des demandes de breets portant sur certains sujets abordés dans ce document. Le fait qu'ibm ous fournisse le présent document ne signifie pas qu'elle ous accorde un permis d'utilisation de ces breets. Vous pouez enoyer, par écrit, os demandes de renseignements relaties aux permis d'utilisation au directeur général des relations commerciales d'ibm, 3600 Steeles Aenue East, Markham, Ontario, L3R 9Z7. Assistance téléphonique Si ous aez besoin d'assistance ou si ous oulez commander du matériel, des logiciels et des publications IBM, contactez IBM direct au x IBM Security QRadar - Guide d'utilisation

11 A propos de ce guide Le présent guide d'utilisation fournit des informations sur la gestion d'ibm Security QRadar SIEM, notamment sur les onglets Dashboard, Offenses, Log Actiity, Network Actiity, Assets et Reports. Utilisateurs concernés Ce guide est destiné à tous les utilisateurs QRadar SIEM chargés de l'étude et de la gestion de la sécurité réseau. Il suppose que ous aez accès à QRadar SIEM et que ous maîtrisez otre réseau d'entreprise et les technologies réseau. Documentation technique Pour obtenir daantage de documentation technique, de notes techniques et de notes sur l'édition, oir Accessing IBM Security Documentation Technical Note (en anglais) ( Contacter le serice clients Pour contacter le serice clients, oir Support and Download Technical Note (en anglais) ( Instructions relaties aux pratiques de bonne sécurité La sécurité des systèmes informatiques implique la protection des systèmes et des informations par la préention, la détection et la réponse aux accès non autorisés au sein comme à l'extérieur de otre entreprise. Un accès non autorisé peut se traduire par la modification, la destruction, ou une utilisation inadéquate ou maleillante de os systèmes, y compris l'utilisation de ces derniers pour attaquer d'autres systèmes. Aucun système ou produit informatique ne doit être considéré comme totalement sécurisé et aucun produit, serice ou mesure de sécurité ne doit empêcher l'utilisation ou l'accès inapproprié. Les systèmes, les produits et les serices IBM sont conçus pour s'intégrer à une approche de sécurité complète, qui implique nécessairement des procédures opérationnelles supplémentaires, et peuent aoir besoin d'autres systèmes, produit ou serices pour optimiser leur efficacité. IBM NE GARANTIT EN AUCUN CAS L'IMMUNITE DES SYSTEMES, PRODUITS OU SERVICES NI L'IMMUNITE DE VOTRE ENTREPRISE CONTRE LES CONDUITES MALVEILLANTES OU ILLICITES DE TIERS. Copyright IBM Corp. 2012, 2013 xi

12 xii IBM Security QRadar - Guide d'utilisation

13 Chapitre 1. A propos de QRadar SIEM QRadar SIEM est une plateforme de gestion de la sécurité des réseaux offrant la prise en charge de la géolocalisation et de la conformité grâce à la combinaison de la connaissance de réseau de flux, de la corrélation des éénements de sécurité et de l'éaluation de la ulnérabilité des actifs. Clé de licence par défaut Une clé de licence par défaut ous donne accès à l'interface utilisateur pour une durée de cinq semaines. Lorsque ous ous connectez à QRadar SIEM, une fenêtre affiche la date à laquelle la clé de licence temporaire expire. Pour plus d'informations sur l'installation d'une clé de licence, oir IBM Security QRadar SIEM Administration Guide. Certificats et exceptions de sécurité Si ous utilisez le naigateur Web Mozilla Firefox, ous deez ajouter une exception à Mozilla Firefox pour pouoir ous connecter à QRadar SIEM. Pour plus d'informations, oir la documentation de otre naigateur Web Mozilla Firefox. Si ous utilisez le naigateur Web Microsoft Internet Explorer, un message de certificat de sécurité de site Web s'affiche lorsque ous accédez au système QRadar SIEM. Vsou deez sélectionner l'option Continue to this website pour ous connecter à QRadar SIEM. Accès à l'application Web Lorsque ous utilisez QRadar SIEM, utilisez les options de naigation disponibles dans l'interface utilisateur de QRadar SIEM au lieu du bouton Back de otre naigateur. Naigateurs Web pris en charge Pour que les fonctions des produits IBM Security QRadar fonctionnent correctement, ous deez utiliser un naigateur Web pris en charge. Lorsque ous accédez au système QRadar, ous êtes inité à entrer un nom d'utilisateur et un mot de passe. Les noms d'utilisateur et mot de passe doient être configurés à l'aance par l'administrateur. Les tableaux suiants répertorient les ersions de naigateurs Web prises en charge. Tableau 1. Naigateurs Web pris en charge par les produits QRadar Naigateur Web Version prise en charge Mozilla Firefox Edition Longue Durée (ESR) Microsoft Internet Explorer, aec mode document et mode naigateur actiés Edition Longue Durée (ESR) Copyright IBM Corp. 2012,

14 Tableau 1. Naigateurs Web pris en charge par les produits QRadar (suite) Naigateur Web Version prise en charge Google Chrome Dernière ersion Actiation du mode document et du mode naigateur dans Internet Explorer Accès à IBM Security QRadar Si ous utilisez Microsoft Internet Explorer pour accéder aux produits IBM Security QRadar, ous deez actier le mode naigateur et le mode document. Procédure 1. Dans otre naigateur Web Internet Explorer, appuyez sur F12 pour ourir la fenêtre Outils de déeloppement. 2. Cliquez sur Mode naigateur et sélectionnez la ersion de otre naigateur Web. 3. Cliquez sur Mode document et sélectionnez Normes d'internet Explorer 7.0. IBM Security QRadar est une application Web. QRadar utilise les informations de connexion par défaut pour l'url, le nom d'utilisateur et le mot de passe. Utilisez les informations du tableau suiant lorsque ous ous connectez à otre console IBM Security QRadar. Tableau 2. Informations de connexion par défaut de QRadar Informations de connexion URL Nom d'utilisateur Mot de passe Clé de licence Par défaut IP>, où <Adresse IP> correspond à l'adresse IP de la console QRadar. admin Mot de passe attribué à QRadar lors du processus d'installation. Une clé de licence par défaut ous donne accès à l'interface utilisateur pour une durée de cinq semaines. Onglets d'interface utilisateur La fonctionnalité se compose de différents onglets. L'onglet Dashboard s'affiche lorsque ous ous connectez. Vous pouez facilement naiguer sur les onglets pour localiser les données ou les fonctionnalités requises. Onglet Dashboard L'onglet Dashboard est l'onglet par défaut qui s'affiche lorsque ous ous connectez. L'onglet Dashboard fournit un enironnement d'espace de traail prenant en charge plusieurs tableaux de bord sur lesquels ous pouez afficher os ues de sécurité des réseaux, d'actiité ou de données collectées par QRadar. Cinq tableaux de bord par défaut sont disponibles. Chaque tableau de bord contient des éléments 2 IBM Security QRadar - Guide d'utilisation

15 qui fournissent un récapitulatif et des informations détaillées concernant les iolations qui suriennent sur otre réseau. Vous pouez également créer un tableau de bord personnalisé pour ous permettre de ous concentrer sur les responsabilités de os opérations de sécurité et de réseau. Pour en saoir plus sur l'utilisation de l'onglet Dashboard, consultez la section Gestion des tableaux de bord. Onglet Offenses L'onglet Offenses ous permet d'afficher les iolations qui se produisent sur otre réseau, que ous pouez localiser à l'aide des dierses options de naigation ou grâce aux recherches aancées. L'onglet Offenses ous permet d'étudier une iolation afin de déterminer la cause première d'un problème. Vous pouez également résoudre le problème. Pour plus d'informations sur l'onglet Offenses oir Gestion des iolations. Onglet Log actiity L'onglet Log Actiity ous permet d'étudier les journaux d'éénements enoyés à QRadar en temps réel, d'effectuer des recherches aancées et d'afficher l'actiité du journal à l'aide de graphiques de séries temporelles configurables. L'onglet Log Actiity ous permet d'effectuer des études approfondies sur les données d'éénements. Pour plus d'informations, oir Etude de l'actiité du journal. Onglet Network Actiity L'onglet Network Actiity ous permet d'étudier les flux enoyés en temps réel, d'effectuer des recherches efficaces et d'afficher l'actiité réseau à l'aide des graphiques de série temporelle configurables. Un flux est une session de communication entre deux hôtes. L'affichage des informations sur le flux ous permet de déterminer comment le trafic est communiqué, ce qui est communiqué (si l'option de capture de contenu est actiée) et qui effectue la communication. Les données de flux contiennent également les détails tels que les protocoles, les aleurs ASN, les aleurs IFIndex et les priorités. Pour plus d'informations, oir Etude de l'actiité réseau. Onglet Assets QRadar détecte automatiquement les actifs, sereurs et hôtes fonctionnant sur otre réseau. L'onglet Assets s'affiche si IBM Security QRadar Vulnerability manager est installé sur otre système. Pour plus d'informations, oir le IBM Security QRadar Vulnerability Manager - Guide d'utilisation. La détection automatique repose sur des données de flux passifs et des données de ulnérabilité, permettant à QRadar de générer un profil d'actif. Les profils d'actif fournissent des informations sur chaque actif connu de otre réseau, y compris les informations d'identité, le cas échéant, ainsi que les serices Chapitre 1. A propos de QRadar SIEM 3

16 s'exécutant sur chaque actif. Ces données de profil sont utilisées à des fins de comparaison, ce qui permet de réduire le nombre de faux positifs. Par exemple, une attaque tente d'utiliser un serice spécifique qui s'exécute sur un actif spécifique. Dans ce cas, QRadar peut déterminer si l'actif est ulnérable à cette attaque en comparant l'attaque au profil d'actif. L'onglet Assets ous permet d'afficher les actifs étudiés ou de rechercher des actifs spécifiques afin d'afficher leurs profils. Pour en saoir plus, oir Gestion des actifs. Onglet Reports L'onglet Reports ous permet de créer, distribuer et gérer des rapports pour toutes les données au sein de QRadar. La fonction Reports ous permet de créer des rapports personnalisés pour une utilisation de fonctionnement et d'exécution. Afin de créer un rapport, ous pouez combiner les informations (telles que celles de sécurité ou de réseau) au sein d'un seul rapport. Vous pouez également utiliser les modèles de rapport préinstallés fournis aec QRadar. L'onglet Reports ous permet d'apposer une marque à os rapports aec des logos personnalisés. Cette personnalisation est intéressante pour la distribution de rapports auprès d'audiences différentes. Pour plus d'informations sur les rapports, oir Gestion des rapports. IBM Security QRadar Risk Manager IBM Security QRadar Risk Manager est un dispositif installé séparément permettant de contrôler les configurations des périphériques, de simuler les changements apportés à otre enironnement réseau et de classer les risques et les ulnérabilités par ordre de priorité sur otre réseau. IBM Security QRadar Risk Manager utilise les données collectées par les données de configuration proenant des dispositifs de réseau et de sécurité, tels que les pare-feux, les routeurs, les commutateurs ou les systèmes de préention contre les intrusions (IPS), les flux de ulnérabilité et les sources de sécurité du fournisseur. Ces données sont utilisées pour identifier les risques associés à la sécurité, à la stratégie et à la conformité au sein de otre infrastructure de sécurité réseau et la probabilité de ces risques exploités. Remarque : Pour plus d'informations sur IBM Security QRadar Risk Manager, contactez otre représentant commercial. Onglet Admin Les administrateurs utilisent l'onglet Admin pour configurer et gérer les utilisateurs, les systèmes, les réseaux, les plug-ins, ainsi que les composants. Les utilisateurs dotés de priilèges d'administration peuent accéder à l'onglet Admin. Les outils d'administration auxquels les administrateurs peuent aoir accès dans l'onglet Admin sont décrits dans le Table 1. 4 IBM Security QRadar - Guide d'utilisation

17 Tableau 3. Outils de gestion d'administration disponibles dans QRadar Outil d'administration Configuration du système Options de configuration du système et de gestion d'utilisateur. Sources de données Options de configuration des sources de journal, des sources de flux et de ulnérabilité. Configuration de réseaux distants et de serices Configuration de réseaux distants et de groupes de serices. Editeur de déploiement Gestion des composants indiiduels de otre déploiement QRadar. Toutes les mises à jour de configuration effectuées dans l'onglet Admin sont enregistrées dans une zone de transfert. Lorsque tous les changements sont complets, ous pouez déployer les mises à jour de configuration pour l'hôte géré dans otre déploiement. Procédures communes de QRadar Plusieurs commandes de l'interface utilisateur QRadar sont communes à la plupart des onglets de l'interface. Ces procédures communes sont décrites dans les sections ci-après. Affichage des messages Le menu Messages, qui se troue dans le coin supérieur droit de l'interface utilisateur, permet d'accéder à une fenêtre dans laquelle ous pouez lire et gérer os notifications système. Aant de commencer Pour afficher les notifications système dans la fenêtre Messages, l'administrateur doit créer une règle basée sur chaque type de message de notification et cocher la case Notify dans Custom Rules Wizard. Pourquoi et quand exécuter cette tâche Le menu Messages indique le nombre de notifications système non lues présentes dans otre système. Cet indicateur incrémente le nombre jusqu'à la fermeture des notifications système. Pour chaque notification système, la fenêtre Messages fournit un récapitulatif et l'horodatage déterminant le moment auquel la notification système a été créée. Vous pouez placer le pointeur de la souris sur une notification pour afficher daantage de détails. Les fonctions de la fenêtre Messages ous permettent de gérer les notifications système. Les notifications système sont également disponibles dans l'onglet Dashboard et sur une fenêtre en incrustation facultatie qui peut être affichée dans le coin inférieur gauche de l'interface utilisateur. Les actions que ous effectuez dans la fenêtre Messages sont étendues à l'onglet Dashboard et à la fenêtre en incrustation. Par exemple, si ous fermez une notification système à partir de la fenêtre Messages, la notification système est supprimée de tous les écrans de notification système. Chapitre 1. A propos de QRadar SIEM 5

18 Pour plus d'informations sur les notifications système dans l'onglet Dashboard, oir Elément Notifications système. La fenêtre Messages propose les fonctions suiantes : Tableau 4. Fonctions disponibles dans la fenêtre Messages Fonction All Health Errors Warnings Information Dismiss All View All Dismiss Cliquez sur All pour afficher toutes les notifications système. Cette option est définie par défaut. Par conséquent, cliquez sur All uniquement si ous aez sélectionné une autre option et que ous souhaitez afficher à noueau toutes les notifications système. Cliquez sur Health pour afficher uniquement les notifications système possédant un nieau de graité Health. Cliquez sur Errors pour afficher uniquement les notifications système possédant un nieau de graité Error. Cliquez sur Warnings pour afficher uniquement les notifications système possédant un nieau de graité Warning. Cliquez sur Information pour afficher uniquement les notifications système possédant un nieau de graité Information. Cliquez sur Dismiss All pour fermer toutes les notifications système de otre système. Si ous aez filtré la liste des notifications système à l'aide des icônes Health, Errors, Warnings ou Information, le texte de l'icône View All est remplacé par l'une des options suiantes : Dismiss All Errors Dismiss All Health Dismiss All Warnings Dismiss All Warnings Dismiss All Info Cliquez sur View All pour afficher les éénements de notification système dans l'onglet Log Actiity. Si ous aez filtré la liste des notifications système à l'aide des icônes Health, Errors, Warnings ou Information, le texte de l'icône View All est remplacé par l'une des options suiantes : View All Errors View All Health View All Warnings View All Info Cliquez sur l'icône Dismiss en regard d'une notification système pour fermer la notification système à partir de otre système. Procédure 1. Connectez-ous à QRadar. 2. Dans le coin supérieur droit de l'interface utilisateur, cliquez sur Messages. 6 IBM Security QRadar - Guide d'utilisation

19 3. Dans la fenêtre Messages, affichez les détails de notification système. 4. Facultatif. Pour affiner la liste des notifications système, cliquez sur l'une des options suiantes : Errors Warnings Information 5. Facultatif. Pour fermer les notifications système, choisissez l'une des options suiantes : Option Dismiss All Dismiss Cliquez ici pour fermer toutes les notifications système. Cliquez sur l'icône Dismiss en regard de la notification système que ous souhaitez fermer. 6. Facultatif. Pour afficher les détails de la notification système, placez le pointeur de la souris sur la notification système. Tri de résultats Vous pouez trier les résultats des tables en cliquant sur un en-tête de colonne. Une flèche au dessus de la colonne indique l'ordre du tri. Procédure 1. Connectez-ous à QRadar. 2. Cliquez une fois sur l'en-tête de colonne pour trier la table dans l'ordre décroissant ; cliquez deux fois pour trier la table dans l'ordre croissant. Actualisation et mise en pause de l'interface utilisateur Vous pouez actualiser manuellement, mettre en pause et lire les données affichées sur les onglets. Pourquoi et quand exécuter cette tâche Les onglets Dashboard et Offenses s'actualisent automatiquement toutes les 60 secondes. Les onglets Log Actiity et Network Actiity s'actualisent automatiquement toutes les 60 secondes si ous affichez l'onglet en mode Last Interal (auto refresh). Le minuteur, situé dans l'angle supérieur droit de l'interface, indique la durée précédant l'actualisation automatique de l'onglet. Lorsque ous isualisez l'onglet Log Actiity ou Network Actiity en mode Real Time (diffusion en flux) ou Last Minute (actualisation automatique), ous pouez utiliser l'icône Pause pour mettre en pause l'affichage actuel. Vous pouez également mettre en pause l'affichage actuel dans l'onglet Dashboard. Si ous cliquez n'importe où dans un élément du tableau de bord, l'onglet est automatiquement mis en pause. Le minuteur clignote en rouge pour indiquer que l'affichage en cours est en pause. Chapitre 1. A propos de QRadar SIEM 7

20 Procédure 1. Connectez-ous à QRadar. 2. Cliquez sur l'onglet que ous oulez afficher. 3. Sélectionnez l'une des options suiantes : Option Refresh Pause Play Cliquez sur Refresh, dans le coin droit de l'onglet, pour actualiser celui-ci. Cliquez sur cette option pour mettre en pause l'affichage de l'onglet. Cette option permet de redémarrer le minuteur après sa mise en pause. Analyse des adresses IP Il existe plusieurs méthodes permettant d'analyser les informations sur les adresses IP des onglets Dashboard, Log Actiity et Network Actiity. Tableau 5. Informations sur les adresses IP Pourquoi et quand exécuter cette tâche Vous trouerez des informations supplémentaires concernant les adresses IP en suiant l'une des méthodes répertoriées dans le tableau suiant. Option Naigate > View by Network Naigate > View Source Summary Naigate > View Destination Summary Information > DNS Lookup Information > WHOIS Lookup Information > Port Scan Information > Asset Profile Affiche les réseaux associés à l'adresse IP sélectionnée. Affiche les iolations associées à l'adresse IP source sélectionnée. Affiche les iolations associées à l'adresse IP de destination sélectionnée. Recherche les entrées DNS basées sur l'adresse IP Recherche le propriétaire enregistré d'une adresse IP distante. Le sereur WHOIS par défaut est whois.arin.net. Effectue une analyse de l'associateur Réseau (NMAP) de l'adresse IP sélectionnée. Cette option est disponible uniquement si NMAP est installé sur otre système. Pour plus d'informations sur l'installation de NMAP, consultez la documentation de otre endeur. Affiche les informations relaties au profil de l'actif. Cette option s'affiche si IBM Security QRadar Vulnerability manager a été acheté et mis sous licence. Pour plus d'informations, oir le IBM Security QRadar Vulnerability Manager - Guide d'utilisation. Cette option de menu est uniquement disponible si QRadar a acquis les données de profil actiement ia une analyse ou passiement ia des sources de flux. Pour plus d'informations, oir IBM Security QRadar SIEM Administration Guide. Information > Search Eents Recherche les éénements associés à cette adresse IP. 8 IBM Security QRadar - Guide d'utilisation

21 Tableau 5. Informations sur les adresses IP (suite) Option Information > Search Flows Information > Search Connections Information > Switch Port Lookup Recherche les flux associés à cette adresse IP. Recherche les connexions associées à cette adresse IP. Cette option s'affiche uniquement si ous aez acheté et mis IBM Security QRadar Risk Manager sous licence et connecté QRadar et le dispositif IBM Security QRadar Risk Manager. Pour plus d'informations, oir le IBM Security QRadar Risk Manager - Guide d'utilisation. Détermine le port de commutation sur un périphérique Cisco IOS lié à cette adresse IP. Cette option s'applique uniquement aux commutateurs reconnus à l'aide de l'option Discoer Deices sur l'onglet Risks. Information > View Topology Affiche l'onglet Risks, qui décrit la topologie de couche 3 de otre réseau. Cette option est disponible si ous aez acheté et mis IBM Security QRadar Risk Manager sous licence et connecté QRadar et le dispositif IBM Security QRadar Risk Manager. Information Run > QVM Scan Sélectionnez l'option Run QVM Scan pour analyser IBM Security QRadar Vulnerability manager sur cette adresse IP. Cette option s'affiche uniquement si IBM Security QRadar Vulnerability manager a été acheté et mis sous licence. Pour plus d'informations, oir le IBM Security QRadar Vulnerability Manager - Guide d'utilisation. Pour plus d'informations sur l'onglet Risks ou sur IBM Security QRadar Risk Manager, oir le IBM Security QRadar Risk Manager - Guide d'utilisation. Procédure 1. Connectez-ous à QRadar. 2. Cliquez sur l'onglet que ous oulez afficher. 3. Placez le pointeur de otre souris sur une adresse IP pour isualiser l'emplacement de l'adresse IP. 4. Cliquez aec le bouton droit de la souris sur l'adresse IP ou sur le nom de l'actif et sélectionnez l'une des options suiantes : Etude des noms d'utilisateurs Vous pouez cliquer aec le bouton droit de la souris sur le nom d'utilisateur pour accéder à plusieurs options de menu. Utilisez ces options pour afficher plus d'informations sur le nom d'utilisateur ou l'adresse IP. Pour pouoir étudier les noms d'utilisateurs, ous deez aoir acheté et mis IBM Security QRadar Vulnerability manager sous licence. Pour plus d'informations, oir le IBM Security QRadar Vulnerability Manager - Guide d'utilisation. Vous pouez sélectionner les options de menu suiantes en faisant un clic droit sur le nom d'utilisateur. Chapitre 1. A propos de QRadar SIEM 9

22 Tableau 6. Options de menu pour étudier le nom d'utilisateur Option View Assets View User History View Eents Affiche les actifs en cours qui sont associés au nom d'utilisateur sélectionné. Pour plus d'informations sur l'affichage des actifs, oir Gestion des actifs. Affiche tous les actifs associés au nom d'utilisateur sélectionné au cours des dernières 24 heures. Affiche les éénements associés au nom d'utilisateur sélectionné. Pour plus d'informations sur la fenêtre List of Eents, oir Sureillance de l'actiité du journal. Pour plus d'informations sur la personnalisation du menu contextuel, oir le Guide d'administration de otre produit. Heure système Le coin droit de l'interface utilisateur QRadar affiche l'heure système, qui correspond à l'heure de la console. L'heure de la console synchronise les systèmes QRadar lors du déploiement de QRadar. L'heure de la console est utilisée pour déterminer l'heure de réception des éénements à partir d'autres dispositifs pour une corrélation correcte de la synchronisation de l'heure. Dans un déploiement réparti, la console peut se trouer dans un fuseau horaire différent de celui de otre ordinateur de bureau. Lorsque ous appliquez des filtres et des recherches basés sur le temps aux onglets Log Actiity et Network Actiity, ous deez utiliser l'heure système de la console pour spécifier un interalle. Lorsque ous appliquez des filtres et des recherches basés sur le temps à l'onglet Log Actiity, ous deez utiliser l'heure système de la console pour spécifier un interalle. Mise à jour des détails de l'utilisateur Vous pouez mettre à jour les détails de l'utilisateur ia l'interface utilisateur QRadar principale. Procédure 1. Pour accéder à os informations utilisateur, cliquez sur Preferences. 2. Si nécessaire, mettez à jour les paramètres suiants : Option Username Affiche otre nom d'utilisateur. Vous ne pouez pas éditer cette zone. 10 IBM Security QRadar - Guide d'utilisation

23 Option Password Password (Confirm) Address Enable Popup Notifications Entrez un noueau mot de passe. Le mot de passe doit répondre aux critères suiants : Doit contenir au minimum 6 caractères Doit contenir au maximum 255 caractères Contient au moins un caractère spécial Contient au moins un caractère spécial Contient un caractère en majuscules Entrez à noueau le mot de passe pour confirmation. Entrez otre adresse . L'adresse doit répondre aux conditions suiantes : Doit être une adresse alide Doit contenir au minimum 10 caractères Doit contenir au maximum 255 caractères Sélectionnez cette case si ous souhaitez actier les notifications système contextuelles à afficher sur otre interface utilisateur. Accès à l'aide en ligne Vous pouez accéder à l'aide en ligne de QRadar ia l'interface utilisateur QRadar principale. Pour aoir accès à l'aide en ligne, cliquez sur Help > Help Contents. Redimensionnement des colonnes Vous pouez redimensionner les colonnes sur plusieurs onglets dans QRadar. Placez le pointeur de otre souris sur la ligne qui sépare les colonnes et glissez le bord de la colonne ers le nouel emplacement. Vous pouez également redimensionner les colonnes en cliquant deux fois sur la ligne qui sépare les colonnes pour redimensionner automatiquement la colonne sur la largeur de la zone la plus grande. Remarque : Le redimensionnement des colonnes ne fonctionne pas dans les naigateurs Web Microsoft Internet Explorer, Version 7.0 lorsque les onglets affichent des enregistrements en mode de diffusion en flux. Configurer la taille de page Les utilisateurs dotés de priilèges d'administration peuent configurer le nombre maximal de résultats s'affichant dans les tableaux sur plusieurs onglets de QRadar. Chapitre 1. A propos de QRadar SIEM 11

24 12 IBM Security QRadar - Guide d'utilisation

25 Chapitre 2. Gestion du tableau de bord Tableaux de bord par défaut L'onglet Dashboard correspond à la ue par défaut lorsque ous ous connectez. Il fournit un enironnement d'espace de traail qui prend en charge plusieurs tableaux de bord sur lesquels ous pouez afficher os ues de sécurité des réseaux, d'actiité ou de données collectées. Le tableau de bord par défaut permet de personnaliser os éléments en ues fonctionnelles. Ces ues fonctionnelles concernent des zones spécifiques de otre réseau. L'onglet Dashboard fournit cinq tableaux de bord par défaut axés sur la sécurité, l'actiité du réseau, l'actiité des applications, la sureillance du système et la conformité. Chaque tableau de bord affiche un ensemble par défaut d'éléments de tableau de bord. Les éléments du tableau de bord agissent comme un point de départ pour accéder à des données plus détaillées. Le tableau suiant définit les tableaux de bord par défaut. Tableaux de bord personnalisés Vous pouez personnaliser os tableaux de bord. Le contenu affiché dans l'onglet Dashboard représente un utilisateur spécifique. Les changements effectués dans une session QRadar affectent otre système uniquement. Pour personnaliser otre onglet Dashboard, ous pouez effectuer les tâches suiantes : Créer des tableaux de bord personnalisés adaptés à os responsabilités. Le nombre maximal est de 255 tableaux de bord par utilisateur ; toutefois, des problèmes de performance peuent se produire si ous créez plus de 10 tableaux de bord. Ajouter et supprimer des éléments de tableau de bord à partir des tableaux de bord personnalisés ou par défaut. Déplacer et positionner des éléments selon os besoins. Lorsque ous positionnez des éléments, chaque élément est automatiquement redimensionné selon les proportions du tableau de bord. Ajouter des éléments de tableau de bord personnalisés qui reposent sur n'importe quelles données. Par exemple, ous pouez ajouter un élément de tableau de bord qui fournit un graphique de séries temporelles ou un graphique à barres qui représente les 10 actiités de réseau principales. Pour créer des éléments personnalisés, ous pouez créer des recherches sauegardées sur les onglets Network Actiity ou Log Actiity et choisir comment ous souhaitez que les résultats soient représentés dans otre tableau de bord. Copyright IBM Corp. 2012,

26 Chaque tableau de bord affiche les données actualisées en temps réel. Les graphiques de séries temporelles sur le tableau de bord sont actualisés toutes les 5 minutes. Personnaliser otre tableau de bord Vous pouez ajouter plusieurs éléments de tableau de bord à os tableaux de bord par défaut ou personnalisés. Vous pouez personnaliser os tableaux de bord pour afficher et organiser les éléments de tableau de bord qui répondent aux exigences de sécurité de otre réseau. Il existe 5 tableaux de bord par défaut, auxquels ous pouez accéder à partir de la zone de liste Show Dashboard sur l'onglet Dashboard. Si ous aez précédemment consulté un tableau de bord aant de retourner à l'onglet Dashboard, le dernier tableau de bord consulté s'affiche. Recherche de flux Vous pouez personnaliser un élément de tableau de bord qui repose des critères de recherche enregistrés à partir de l'onglet Network Actiity. Des éléments de recherche de flux figurent dans le menu Add Item > Network Actiity > Flow Searches. Le nom de l'élément de recherche de flux correspond au nom des critères de recherche enregistrés sur lequel l'élément est basé. Les critères de recherche enregistrés par défaut sont disponibles et préconfigurés pour afficher les éléments de recherche de flux dans otre menu d'onglet Dashboard. Vous pouez ajouter des éléments de tableau de bord de recherche de flux supplémentaires dans otre menu d'onglet Dashboard. Pour plus d'informations, oir Ajout d'éléments de tableau de bord basés sur des recherches à la liste Add Items. Sur un élément de tableau de bord de recherche de flux, les résultats de recherche affichent des données actualisées en temps réel sur un graphique. Les types de graphiques pris en charge sont des séries temporelles, des tableaux, des graphiques circulaires et des graphiques à barres. Le type de graphique par défaut est le graphique à barres. Ces graphiques sont configurables. Pour plus d'informations sur la configuration des graphiques, oir Configuration des graphiques. Les graphiques de série temporelle sont interactifs. En utilisant des graphiques de série temporelle, ous pouez agrandir et analyser un calendrier pour étudier l'actiité du réseau. Violations Vous pouez ajouter plusieurs éléments liés à la iolation dans otre tableau de bord. Remarque : Les iolations masquées ou fermées ne sont pas incluses dans les aleurs affichées dans l'onglet Dashboard. Pour plus d'informations sur les éénements masqués ou fermés, oir Gestion des iolations. 14 IBM Security QRadar - Guide d'utilisation