IBM Security QRadar Network Anomaly Detection Version Guide d'utilisation

Transcription

1 IBM Security QRadar Network Anomaly Detection Version Guide d'utilisation

2 Remarque Aant d'utiliser ces informations et le produit associé, prenez connaissance des informations figurant à la section «Mentions», à la page 313.

3 Table des matières A propos de ce guide ix Chapitre 1. A propos de QRadar Network Anomaly Detection Naigateurs Web pris en charge Actiation de Compatibility View Accès à l'interface utilisateur IBM Security QRadar Risk Manager Onglets d'interface utilisateur Onglet Dashboard Onglet Offenses Onglet Log Actiity Onglet Network Actiity Onglet Assets Onglet Reports IBM Security QRadar Risk Manager Onglet Admin Affichage des messages Tri de résultats Actualisation et mise en pause de l'interface utilisateur Analyse des adresses IP Etude des noms d'utilisateurs Heure système Mise à jour des détails de l'utilisateur Accès à l'aide en ligne Redimensionnement des colonnes Configurer la taille de page Chapitre 2. Gestion du tableau de bord Tableaux de bord par défaut Tableaux de bord personnalisés Personnaliser otre tableau de bord Recherche de flux Violations Actiité de journal Rapports les plus récents Récapitulatif système Risk Manager Eléments Vulnerability Management Notification de sytème Centre de documentation de menaces Internet Création d'un tableau de bord personnalisé Utilisation du tableau de bord pour analyser l'actiité réseau ou de journal Configuration des graphiques Suppression d'éléments de tableau de bord Détachement d'un élément de tableau de bord Renommage d'un tableau de bord Suppression d'un tableau de bord Gestion des notifications système Adding search-based dashboard items to the Add Items list Chapitre 3. Gestion des iolations Présentation des iolations Prise en compte des autorisations de iolation Termes clés Conseration des iolations Sureiller les iolations Copyright IBM Corp. 2012, 2013 iii

4 Sureillance des pages All Offenses ou My Offenses Sureillance des iolations groupées par catégorie Sureillance des iolations groupées par IP source Sureillance des iolations groupées par IP de destination Sureillance des iolations groupées par réseau Tâches de gestion des iolations Ajout de notes Masquage des iolations Affichage des iolations masquées Fermeture des iolations Protection des iolations Annulation de la protection des iolations Exportation de iolations Affectation de iolations aux utilisateurs Enoi de notification par Marquage d'un élément pour suii Fonctions de la barre d'outils de l'onglet Offense Paramètres de iolations Chapitre 4. Etude de l'actiité du journal Présentation de l'onglet Log actiity Barre d'outils de l'onglet Log actiity Syntaxe Quick Filter Options de menu contextuel Barre d'état Sureillance de l'actiité de journal Affichage des éénements de diffusion en flux Affichage des éénements normalisés Affichage des éénements bruts Affichage d'éénements groupés Détails d'éénement Barre d'outils des détails d'éénements Affichage des iolations associées Modification de mappage d'éénement Réglage des faux positifs Gestion des données PCAP Affichage de la colonne de données PCAP Affichage des informations PCAP Téléchargement du fichier PCAP sur otre système de bureau Exportation d'éénements Chapitre 5. Etude de l'actiité réseau Présentation de l'onglet Network Actiity Barre d'outils de l'onglet Network Actiity Syntaxe Quick Filter Options du menu contextuel Barre d'état Enregistrements des dépassements Sureillance de l'actiité de journal Affichage des flux en continu Affichage des flux normalisés Affichage des flux regroupés Détails de flux Barre d'outils des détails de flux Réglage des faux positifs Exportation de flux Chapitre 6. Gestion des graphiques Gestion des graphiques Présentation des graphiques de série temporelle i QRadar Network Anomaly Detection - Guide d'utilisation

5 Légendes des graphique Configuration des graphiques Chapitre 7. Recherche des données Recherche d'éénements et de flux Recherche d'éléments correspondant à os critères Sauegarde des critères de recherche Recherches de iolations Recherche de iolations dans les pages My Offenses et All Offenses Recherche de iolations dans la page By Source IP Recherche de iolations dans la page By Destination IP Recherche de iolations dans la page By Networks Sauegarde de critères de recherche sur l'onglet Offenses Suppression des critères de recherche Utilisation d'une sous-recherche pour affiner les résultats de recherche Gestion des résultats de recherche Sauegarde des résultats de recherche Affichage des résultats de recherche gérés Annulation d'une recherche Suppression d'une recherche Gestion des groupes de recherche Affichage des groupes de recherche Création d'un groupe de recherche Edition d'un groupe de recherche Copie d'une recherche sauegardée ers un autre groupe Suppression d'un groupe ou d'une recherche sauegardée dans un groupe Chapitre 8. Propriétés d'éénement et de flux personnalisés Autorisations obligatoires Types de propriétés personnalisées Création d'une propriété personnalisée basée sur une expression régulière Création d'une propriété personnalisée basée sur le calcul Modification d'une propriété personnalisée Copie d'une propriété personnalisée Suppression d'une propriété personnalisée Chapitre 9. Gestion des règles Prise en compte des droits de règle Présentation des règles Catégories de règles Types de règles Conditions de règles Réponses à la règle Affichage des règles Création d'une règle personnalisée Création d'une règle de détection des anomalies Tâches de gestion des règles Actiation et désactiation de règles Edition d'une règle Copie d'une règle Suppression d'une règle Gestion de groupe de règles Affichage d'un groupe de règles Création d'un groupe Affectation d'un élément à un groupe Edition d'un groupe Copie d'un élément ers un autre groupe Suppression d'un élément d'un groupe Suppression d'un groupe Edition d'éléments structurants Table des matières

6 Paramètres de la page de règles Barre d'outils de la page de règles Paramètres de la page Rule Response Chapitre 10. Paramètres de la page Asset profile A propos des actifs A propos des ulnérabilités Présentation de l'onglet Assets Liste de l'onglet Asset Barre d'outils de l'onglet Assets Options de menu contextuel Affichage d'un profil d'actif Ajout ou édition d'un profil d'actif Recherche de profils d'actifs Sauegarde des critères de recherche d'un actif Groupes de recherche d'actifs Affichage des groupes de recherche Création d'un groupe de recherche Edition d'un groupe de recherche Copie d'une recherche sauegardée ers un autre groupe Suppression d'un groupe ou d'une recherche sauegardée dans un groupe Tâches de gestion des profils d'actif Suppression des actifs Importation de profils d'actif Exportation des actifs Recherche de ulnérabilités pour l'actif Paramètres de la page Asset profile Volet Asset Summary Volet Network Interface Summary Volet Vulnerability Volet Serices Volet Windows Serices Volet Packages Volet Windows Patches Volet Properties Volet Risk Policies Volet Products Chapitre 11. Gestion de rapports Présentation de l'onglet Reports Considérations relaties aux fuseaux horaires Autorisations de l'onglet Reports Paramètres de l'onglet Report Ordre de tri de l'onglet Report Barre d'outils de l'onglet Report Barre d'état Présentation de rapport Types de graphique Types de graphique Création de rapports personnalisés Tâches de gestion de rapports Edition d'un rapport Affichage de rapports générés Suppression du contenu généré Génération manuelle d'un rapport Duplication d'un rapport Partage d'un rapport Personnalisation de rapports Groupe de rapports Création d'un groupe de rapports i QRadar Network Anomaly Detection - Guide d'utilisation

7 Modification d'un groupe Affectation d'un rapport à un groupe Copie d'un rapport ers un autre groupe Suppression d'un rapport Conteneur de graphique Paramètres de conteneur du graphique Asset Vulnerabilities Paramètre du conteneur de graphiques Eénements/Journaux Paramètre du conteneur de graphiques de flux Paramètre du conteneur de graphiques Top Source IPs Paramètres du conteneur de graphiques Top Offenses Paramètre du conteneur de graphiques Top Destination IPs Chapitre 12. Tests de règle Tests et paramètres des règles Mentions Marques Glossaire A B C D E F G H I L M N O P Q R S T V W Index Table des matières ii

8 iii QRadar Network Anomaly Detection - Guide d'utilisation

9 A propos de ce guide Le guide d'utilisation IBM Security QRadar Network Anomaly Detection fournit des informations sur la gestion de QRadar Network Anomaly Detection aec notamment les onglets Dashboard, Offenses, Log Actiity, Network Actiity, Assets et Reports. Utilisateurs concernés Ce guide est destiné à tous les utilisateurs QRadar Network Anomaly Detection chargés de l'étude et de la gestion de la sécurité des réseaux. Ce guide suppose que ous aez accès à QRadar Network Anomaly Detection et que ous maîtrisez otre réseau d'entreprise et les technologies réseau. Documentation technique Pour obtenir daantage de documentation technique, de notes techniques et de notes sur l'édition, oir Accessing IBM Security Documentation Technical Note (en anglais) ( Contacter le serice clients Pour contacter le serice clients, oir Support and Download Technical Note (en anglais) ( Déclaration de bonnes pratiques de sécurité La sécurité des systèmes informatiques implique la protection des systèmes et des informations ia la préention, la détection et la réponse en cas d'accès incorrect au sein et à l'extérieur de otre entreprise. Un accès incorrect peut entraîner l'altération, la destruction, l'inadaptation ou la mauaise utilisation des informations ou être à l'origine de dommages ou d'usage abusif de os systèmes, notamment dans le cadre d'attaques eners d'autres systèmes. Aucun système ou produit informatique ne doit être considéré comme complètement sécurisé et aucun produit, serice ou mesure de sécurité unique ne peut être totalement efficace en matière de préention d'un usage ou d'un accès abusif. Les systèmes, produits et serices IBM sont conçus pour être inclus dans une solution de sécurité complète, qui implique obligatoirement des procédures opérationnelles supplémentaires et peut exiger une efficacité accrue des autres systèmes, produits ou serices. IBM NE GARANTIT EN AUCUN CAS L'IMMUNITE DES SYSTEMES, PRODUITS OU SERVICES NI L'IMMUNITE DE VOTRE ENTREPRISE CONTRE LE COMPORTEMENT MALVEILLANT OU ILLEGAL DE L'UNE DES PARTIES. Copyright IBM Corp. 2012, 2013 ix

10 x QRadar Network Anomaly Detection - Guide d'utilisation

11 Chapitre 1. A propos de QRadar Network Anomaly Detection IBM Security QRadar QFlow Collector est une plateforme de gestion de la sécurité des réseaux offrant la prise en charge de la géolocalisation et de la conformité grâce à la combinaison de la connaissance de réseau de flux, de la corrélation des éénements de sécurité et de l'éaluation de la ulnérabilité des actifs. Clé de licence par défaut Une clé de licence par défaut ous donne accès à l'interface utilisateur pour une durée de cinq semaines. Une fois que ous êtes connecté, une fenêtre affiche la date à laquelle la clé de licence temporaire expire. Pour plus d'informations sur l'installation d'une clé de licence, oir IBM Security QRadar Network Anomaly - Guide d'administration. Certificats et exceptions de sécurité Si ous utilisez le naigateur Web Mozilla Firefox, ous deez ajouter une exception à Mozilla Firefox. Pour plus d'informations, oir la documentation de otre naigateur Web Mozilla Firefox. Si ous utilisez le naigateur Web Microsoft Internet Explorer, un message de certificat de sécurité de site Web s'affiche lorsque ous accédez au système QRadar. Vous deez sélectionner l'option Continue to this website pour ous connecter à QRadar. Accès à l'application Web Lorsque ous utilisez QRadar, utilisez les options de naigation disponibles dans l'interface utilisateur de QRadar au lieu du bouton Back de otre naigateur Web. Naigateurs Web pris en charge La console IBM Security QRadar SIEM est accessible à partir d'un naigateur Web standard. QRadar prend en charge certaines ersions de naigateur Web Mozilla Firefox et Microsoft Internet Explorer. Lorsque ous accédez au système, une inite s'affiche demandant un nom d'utilisateur et un mot de passe. Le nom d'utilisateur et le mot de passe doient être configurés à l'aance par l'administrateur QRadar Risk Manager. Copyright IBM Corp. 2012,

12 Tableau 1. Naigateurs Web pris en charge pour IBM Security QRadar SIEM Naigateur Web Versions prises en charge Mozilla Firefox 10.0 ESR 17.0 ESR Mozilla Firefox a un cycle d'édition court. Nous ne pouons pas nous engager à effectuer des tests sur les toutes dernières ersions du naigateur Mozilla Firefox. Cependant, nous pouons tout à fait enquêter sur les différents problèmes signalés. Microsoft Internet Explorer, aec ue de compatibilité actiée Pour obtenir des instructions sur la façon d'actier l'affichage de compatibilité, oir la section «Actiation de Compatibility View» Google Chrome Version la plus récente Nous pouons tout à fait enquêter sur les différents problèmes signalés. Actiation de Compatibility View Vous deez actier l'affichage de compatibilité si ous utilisez Microsoft Internet Explorer pour accéder à IBM Security QRadar. Procédure 1. Dans otre naigateur Microsoft Internet Explorer, appuyez sur la touche F12 pour ourir la fenêtre Deeloper Tools. 2. Pour configurer le mode naigateur, dans liste Browser Mode, sélectionnez la ersion de otre naigateur web. 3. Pour configurer le mode document, dans la liste Document Mode, sélectionnez Internet Explorer 7.0 Standards. Accès à l'interface utilisateur IBM Security QRadar Risk Manager IBM Security QRadar est une application Web. QRadar utilise des informations de connexion par défaut pour l'url, le nom d'utilisateur et le mot de passe. Utilisez les informations du tableau suiant lorsque ous ous connectez à otre console IBM Security QRadar. Tableau 2. Informations de connexion par défaut pour QRadar Risk Manager Informations de connexion URL Nom d'utilisateur Mot de passe Par défaut Address>, où <IP Address> correspond à l'adresse IP de la console QRadar. admin Mot de passe attribué à QRadar Risk Manager lors du processus d'installation. 2 QRadar Network Anomaly Detection - Guide d'utilisation

13 Tableau 2. Informations de connexion par défaut pour QRadar Risk Manager (suite) Informations de connexion Par défaut Clé de licence Une clé de licence par défaut ous donne accès à l'interface utilisateur pour une durée de cinq semaines. Onglets d'interface utilisateur La fonctionnalité se compose de différents onglets. L'onglet Dashboard s'affiche lorsque ous ous connectez. Vous pouez facilement naiguer sur les onglets pour localiser les données ou les fonctionnalités requises. Onglet Dashboard L'onglet Dashboard est l'onglet par défaut qui s'affiche lorsque ous ous connectez. L'onglet Dashboard fournit un enironnement d'espace de traail prenant en charge plusieurs tableaux de bord sur lesquels ous pouez afficher os ues de sécurité des réseaux, d'actiité ou de données collectées par QRadar. Cinq tableaux de bord par défaut sont disponibles. Chaque tableau de bord contient des éléments qui fournissent un récapitulatif et des informations détaillées concernant les iolations qui suriennent sur otre réseau. Vous pouez également créer un tableau de bord personnalisé pour ous permettre de ous concentrer sur les responsabilités de os opérations de sécurité et de réseau. Pour en saoir plus sur l'utilisation de l'onglet Dashboard, consultez la section Gestion des tableaux de bord. Onglet Offenses L'onglet Offenses ous permet d'afficher les iolations qui se produisent sur otre réseau, que ous pouez localiser à l'aide des dierses options de naigation ou grâce aux recherches aancées. L'onglet Offenses ous permet d'étudier une iolation afin de déterminer la cause première d'un problème. Vous pouez également résoudre le problème. Pour plus d'informations sur l'onglet Offenses oir Gestion des iolations. Onglet Log Actiity L'onglet Log Actiity ous permet d'étudier les journaux d'éénements enoyés à QRadar en temps réel, d'effectuer des recherches aancées et d'afficher l'actiité du journal à l'aide des graphiques de séries temporelles configurables. L'onglet Log Actiity ous permet d'effectuer des études approfondies sur les données d'éénements. Pour plus d'informations, oir Etude de l'actiité du journal. Chapitre 1. A propos de QRadar Network Anomaly Detection 3

14 Onglet Network Actiity L'onglet Network Actiity ous permet d'étudier les flux enoyés en temps réel, d'effectuer des recherches efficaces et d'afficher l'actiité réseau à l'aide des graphiques de série temporelle configurables. Un flux est une session de communication entre deux hôtes. L'affichage des informations sur le flux ous permet de déterminer comment le trafic est communiqué, ce qui est communiqué (si l'option de capture de contenu est actiée) et qui effectue la communication. Les données de flux contiennent également les détails tels que les protocoles, les aleurs ASN, les aleurs IFIndex et les priorités. Pour plus d'informations, oir Etude de l'actiité réseau. Onglet Assets QRadar détecte automatiquement des actifs, sereurs et hôtes fonctionnant sur otre réseau. L'onglet Assets est isible quand IBM Security QRadar Vulnerability Manager est installé sur otre système. Pour plus d'informations, oir IBM Security QRadar Vulnerability Manager - Guide d'utilisation. La détection automatique repose sur des données de flux passifs et des données de ulnérabilité, permettant à QRadar de générer un profil d'actif. Les profils d'actif fournissent des informations sur chaque actif connu de otre réseau, y compris les informations d'identité, le cas échéant, ainsi que les serices s'exécutant sur chaque actif. Ces données de profil sont utilisées à des fins de comparaison, ce qui permet de réduire le nombre de faux positifs. Par exemple, une attaque tente d'utiliser un serice spécifique qui s'exécute sur un actif spécifique. Dans ce cas, QRadar peut déterminer si l'actif est ulnérable à cette attaque en comparant l'attaque au profil d'actif. L'onglet Assets ous permet d'afficher les actifs étudiés ou de rechercher des actifs spécifiques afin d'afficher leurs profils. Pour en saoir plus, oir Gestion des actifs. Onglet Reports L'onglet Reports ous permet de créer, distribuer et gérer des rapports pour toutes les données au sein de QRadar. La fonction Reports ous permet de créer des rapports personnalisés pour une utilisation de fonctionnement et d'exécution. Afin de créer un rapport, ous pouez combiner les informations (telles que celles de sécurité ou de réseau) au sein d'un seul rapport. Vous pouez également utiliser des modèles de rapport préinstallés inclus aec QRadar. L'onglet Reports ous permet d'apposer une marque à os rapports aec des logos personnalisés. Cette personnalisation est intéressante pour la distribution de rapports auprès d'audiences différentes. Pour plus d'informations sur les rapports, oir Gestion des rapports. 4 QRadar Network Anomaly Detection - Guide d'utilisation

15 IBM Security QRadar Risk Manager IBM Security QRadar Risk Manager est un dispositif installé séparément pour contrôler les configurations d'unité, simuler les changements apportés à otre enironnement réseau et classer les risques et les ulnérabilités par ordre de priorité sur otre réseau. IBM Security QRadar Risk Manager utilise les données collectées par les données de configuration proenant des dispositifs de réseau et de sécurité, tels que les pare-feux, les routeurs, les commutateurs ou les système de préention contre les intrusions (IPS), les flux de ulnérabilité et les sources de sécurité du fournisseur. Ces données sont utilisées pour identifier les risques associés à la sécurité, à la stratégie et à la conformité au sein de otre infrastructure de sécurité réseau et la probabilité de ces risques exploités. Remarque : Pour plus d'informations sur IBM Security QRadar Risk Manager, contactez otre représentant commercial. Onglet Admin Les administrateurs utilisent l'onglet Admin pour configurer et gérer les utilisateurs, les systèmes, les réseaux, les plug-ins, ainsi que les composants. Les utilisateurs dotés de priilèges d'administration peuent accéder à l'onglet Admin. Les outils d'administration auxquels les administrateurs peuent aoir accès dans l'onglet Admin sont décrits dans Table 1. Tableau 3. Outils de gestion d'administration disponibles dans QRadar Outil d'administration Configuration du système Options de configuration du système et de gestion d'utilisateur. Sources de données Options de configuration des sources de journal, des sources de flux et de ulnérabilité. Configuration de réseaux distants et de serices Editeur de déploiement Configuration de réseaux distants et de groupes de serices. Gestion des composants indiiduels de otre déploiement QRadar. Affichage des messages Toutes les mises à jour de configuration effectuées dans l'onglet Admin sont enregistrées dans une zone de transfert. Lorsque tous les changements sont complets, ous pouez déployer les mises à jour de configuration pour l'hôte géré dans otre déploiement. Le menu Messages, qui se troue dans le coin supérieur droit de l'interface utilisateur, permet d'accéder à une fenêtre dans laquelle ous pouez lire et gérer os notifications système. Aant de commencer Pour afficher les notifications système dans la fenêtre Messages, l'administrateur doit créer une règle basée sur chaque type de message de notification et cocher la case Notify dans Custom Rules Wizard. Chapitre 1. A propos de QRadar Network Anomaly Detection 5

16 Pourquoi et quand exécuter cette tâche Le menu Messages indique le nombre de notifications système non lues présentes dans otre système. Cet indicateur incrémente le nombre jusqu'à la fermeture des notifications système. Pour chaque notification système, la fenêtre Messages fournit un récapitulatif et l'horodatage déterminant le moment auquel la notification système a été créée. Vous pouez placer le pointeur de la souris sur une notification pour afficher daantage de détails. Les fonctions de la fenêtre Messages ous permettent de gérer les notifications système. Les notifications système sont également disponibles dans l'onglet Dashboard et sur une fenêtre en incrustation facultatie qui peut être affichée dans le coin inférieur gauche de l'interface utilisateur. Les actions que ous effectuez dans la fenêtre Messages sont étendues à l'onglet Dashboard et à la fenêtre en incrustation. Par exemple, si ous fermez une notification système à partir de la fenêtre Messages, la notification système est supprimée de tous les écrans de notification système. Pour plus d'informations sur les notifications système dans l'onglet Dashboard, oir Elément Notifications système. La fenêtre Messages propose les fonctions suiantes : Tableau 4. Fonctions disponibles dans la fenêtre Messages Fonction All Cliquez sur All pour afficher toutes les notifications système. Cette option est définie par défaut. Par conséquent, cliquez sur All uniquement si ous aez sélectionné une autre option et que ous souhaitez afficher à noueau toutes les notifications système. Health Cliquez sur Health pour afficher uniquement les notifications système possédant un nieau de graité Health. Errors Cliquez sur Errors pour afficher uniquement les notifications système possédant un nieau de graité Error. Warnings Cliquez sur Warnings pour afficher uniquement les notifications système possédant un nieau de graité Warning. Information Cliquez sur Information pour afficher uniquement les notifications système possédant un nieau de graité Information. 6 QRadar Network Anomaly Detection - Guide d'utilisation

17 Tableau 4. Fonctions disponibles dans la fenêtre Messages (suite) Fonction Dismiss All View All Dismiss Cliquez sur Dismiss All pour fermer toutes les notifications système de otre système. Si ous aez filtré la liste des notifications système à l'aide des icônes Health, Errors, Warnings ou Information, le texte de l'icône View All est remplacé par l'une des options suiantes : Dismiss All Errors Dismiss All Health Dismiss All Warnings Dismiss All Warnings Dismiss All Info Cliquez sur View All pour afficher les éénements de notification système dans l'onglet Log Actiity. Si ous aez filtré la liste des notifications système à l'aide des icônes Health, Errors, Warnings ou Information, le texte de l'icône View All est remplacé par l'une des options suiantes : View All Errors View All Health View All Warnings View All Info Cliquez sur l'icône Dismiss en regard d'une notification système pour fermer la notification système à partir de otre système. Procédure 1. Connectez-ous à QRadar. 2. Dans le coin supérieur droit de l'interface utilisateur, cliquez sur Messages. 3. Dans la fenêtre Messages, affichez les détails de notification système. 4. Facultatif. Pour affiner la liste des notifications système, cliquez sur l'une des options suiantes : Errors Warnings Information 5. Facultatif. Pour fermer les notifications système, choisissez l'une des options suiantes : Option Dismiss All Dismiss Cliquez ici pour fermer toutes les notifications système. Cliquez sur l'icône Dismiss en regard de la notification système que ous souhaitez fermer. 6. Facultatif. Pour afficher les détails de la notification système, placez le pointeur de la souris sur la notification système. Chapitre 1. A propos de QRadar Network Anomaly Detection 7

18 Tri de résultats Vous pouez trier les résultats des tables en cliquant sur un en-tête de colonne. Une flèche au dessus de la colonne indique l'ordre du tri. Procédure 1. Connectez-ous à QRadar. 2. Cliquez une fois sur l'en-tête de colonne pour trier la table dans l'ordre décroissant ; cliquez deux fois pour trier la table dans l'ordre croissant. Actualisation et mise en pause de l'interface utilisateur Vous pouez actualiser manuellement, mettre en pause et lire les données affichées sur les onglets. Pourquoi et quand exécuter cette tâche Les onglets Dashboard et Offenses s'actualisent automatiquement toutes les 60 secondes. Les onglets Log Actiity et Network Actiity s'actualisent automatiquement toutes les 60 secondes si ous affichez l'onglet en mode Last Interal (auto refresh). Le minuteur, situé dans l'angle supérieur droit de l'interface, indique la durée précédant l'actualisation automatique de l'onglet. Lorsque ous isualisez l'onglet Log Actiity ou Network Actiity en mode Real Time (diffusion en flux) ou Last Minute (actualisation automatique), ous pouez utiliser l'icône Pause pour mettre en pause l'affichage actuel. Vous pouez également mettre en pause l'affichage actuel dans l'onglet Dashboard. Si ous cliquez n'importe où dans un élément du tableau de bord, l'onglet est automatiquement mis en pause. Le minuteur clignote en rouge pour indiquer que l'affichage en cours est en pause. Procédure 1. Connectez-ous à QRadar. 2. Cliquez sur l'onglet que ous oulez afficher. 3. Sélectionnez l'une des options suiantes : Option Refresh Pause Play Cliquez sur Refresh, dans le coin droit de l'onglet, pour actualiser celui-ci. Cliquez sur cette option pour mettre en pause l'affichage de l'onglet. Cette option permet de redémarrer le minuteur après sa mise en pause. Analyse des adresses IP Il existe plusieurs méthodes permettant d'analyser les informations sur les adresses IP des onglets Dashboard, Log Actiity et Network Actiity. 8 QRadar Network Anomaly Detection - Guide d'utilisation

19 Pourquoi et quand exécuter cette tâche Vous trouerez des informations supplémentaires concernant les adresses IP en suiant l'une des méthodes répertoriées dans le tableau suiant. Tableau 5. Informations sur les adresses IP Option Naigate > View by Network Naigate > View Source Summary Naigate > View Destination Summary Information > DNS Lookup Information > WHOIS Lookup Information > Port Scan Information > Asset Profile Affiche les réseaux associés à l'adresse IP sélectionnée. Affiche les iolations associées à l'adresse IP source sélectionnée. Affiche les iolations associées à l'adresse IP de destination sélectionnée. Recherche les entrées DNS basées sur l'adresse IP Recherche le propriétaire enregistré d'une adresse IP distante. Le sereur WHOIS par défaut est whois.arin.net. Effectue une analyse de l'associateur Réseau (NMAP) de l'adresse IP sélectionnée. Cette option est disponible uniquement si NMAP est installé sur otre système. Pour plus d'informations sur l'installation de NMAP, consultez la documentation de otre endeur. Affiche les informations relaties au profil de l'actif. Cette option s'affiche si ous possédez IBM Security QRadar Vulnerability Manager et en aez obtenu la licence. Pour plus d'informations, oir IBM Security QRadar Vulnerability Manager - Guide d'utilisation. Cette option de menu est uniquement disponible lorsque QRadar a acquis les données de profil actiement ia une analyse ou passiement ia des sources de flux. Information > Search Eents Information > Search Flows Information > Search Connections Pour plus d'informations, oir IBM Security QRadar Network Anomaly Detection - Guide d'administration. Recherche les éénements associés à cette adresse IP. Recherche les flux associés à cette adresse IP. Recherche les connexions associées à cette adresse IP. Cette option s'affiche uniquement si ous possédez IBM Security QRadar Risk Manager et aez connecté QRadar au dispositif IBM Security QRadar Risk Manager. Pour plus d'informations, oir le Guide IBM Security QRadar Risk Manager. Chapitre 1. A propos de QRadar Network Anomaly Detection 9

20 Tableau 5. Informations sur les adresses IP (suite) Option Information > Switch Port Lookup Information > View Topology Information Run > QVM Scan Détermine le port de commutation sur un périphérique Cisco IOS lié à cette adresse IP. Cette option s'applique uniquement aux commutateurs reconnus à l'aide de l'option Discoer Deices sur l'onglet Risks. Affiche l'onglet Risks, qui décrit la topologie de couche 3 de otre réseau. Cette option est disponible si ous possédez IBM Security QRadar Risk Manager et aez connecté QRadar au dispositif IBM Security QRadar Risk Manager. Sélectionnez l'option Run QVM Scan pour effectuer une analyse IBM Security QRadar Vulnerability Manager sur cette adresse IP. Cette option s'affiche uniquement lorsque ous possédez IBM Security QRadar Vulnerability Manager et en aez obtenu la licence. Pour plus d'informations, oir IBM Security QRadar Vulnerability Manager - Guide d'utilisation. Pour plus d'informations concernant l'onglet Risks ou IBM QRadar Risk Manager, oir IBM Security QRadar Risk Manager User Guide. Procédure 1. Connectez-ous à QRadar. 2. Cliquez sur l'onglet que ous oulez afficher. 3. Placez le pointeur de otre souris sur une adresse IP pour isualiser l'emplacement de l'adresse IP. 4. Cliquez aec le bouton droit de la souris sur l'adresse IP ou sur le nom de l'actif et sélectionnez l'une des options suiantes : Etude des noms d'utilisateurs Vous pouez cliquer aec le bouton droit de la souris sur le nom d'utilisateur pour accéder à plusieurs options de menu. Utilisez ces options pour afficher plus d'informations sur le nom d'utilisateur ou l'adresse IP. Vous pouez étudier les noms d'utilisateur lorsque ous achetez et obtenez la licence IBM Security QRadar Vulnerability Manager. Pour plus d'informations, oir IBM Security QRadar Vulnerability Manager - Guide d'utilisation. Vous pouez sélectionner les options de menu suiantes en faisant un clic droit sur le nom d'utilisateur. Tableau 6. Options de menu pour étudier le nom d'utilisateur Option View Assets Affiche les actifs en cours qui sont associés au nom d'utilisateur sélectionné. Pour plus d'informations sur l'affichage des actifs, oir Gestion des actifs. 10 QRadar Network Anomaly Detection - Guide d'utilisation

21 Tableau 6. Options de menu pour étudier le nom d'utilisateur (suite) Option View User History View Eents Affiche tous les actifs associés au nom d'utilisateur sélectionné au cours des dernières 24 heures. Affiche les éénements associés au nom d'utilisateur sélectionné. Pour plus d'informations sur la fenêtre List of Eents, oir Sureillance de l'actiité du journal. Heure système Pour plus d'informations sur la personnalisation du menu contextuel, oir IBM Security QRadar - Note technique sur la personnalisation du menu contextuel. Le coin droit de l'interface utilisateur QRadar affiche l'heure système, qui correspond à l'heure de la console. L'heure de la console permet de synchroniser les systèmes QRadar dans le déploiement de QRadar. L'heure de la console est utilisée pour déterminer l'heure de réception des éénements à partir d'autres dispositifs pour une corrélation correcte de la synchronisation de l'heure. Dans un déploiement réparti, la console peut se trouer dans un fuseau horaire différent de celui de otre ordinateur de bureau. Lorsque ous appliquez des filtres et des recherches basés sur le temps aux onglets Log Actiity et Network Actiity, ous deez utiliser l'heure système de la console pour spécifier un interalle. Lorsque ous appliquez des filtres et des recherches basés sur le temps à l'onglet Log Actiity, ous deez utiliser l'heure système de la console pour spécifier un interalle. Mise à jour des détails de l'utilisateur Vous pouez mettre à jour les détails de l'utilisateur ia l'interface utilisateur QRadar principale. Procédure 1. Pour accéder à os informations utilisateur, cliquez sur Preferences. 2. Si nécessaire, mettez à jour les paramètres suiants : Option Username Affiche otre nom d'utilisateur. Vous ne pouez pas éditer cette zone. Chapitre 1. A propos de QRadar Network Anomaly Detection 11

22 Option Password Password (Confirm) Address Enable Popup Notifications Entrez un noueau mot de passe. Le mot de passe doit répondre aux critères suiants : Doit contenir au minimum 6 caractères Doit contenir au maximum 255 caractères Contient au moins un caractère spécial Contient au moins un caractère spécial Contient un caractère en majuscules Entrez à noueau le mot de passe pour confirmation. Entrez otre adresse . L'adresse doit répondre aux conditions suiantes : Doit être une adresse alide Doit contenir au minimum 10 caractères Doit contenir au maximum 255 caractères Sélectionnez cette case si ous souhaitez actier les notifications système contextuelles à afficher sur otre interface utilisateur. Accès à l'aide en ligne Vous pouez accéder à l'aide en ligne QRadar ia l'interface utilisateur QRadar principale. Pour aoir accès à l'aide en ligne, cliquez sur Help > Help Contents. Redimensionnement des colonnes Configurer la taille de page Vous pouez redimensionner les colonnes sur plusieurs onglets dans QRadar. Placez le pointeur de otre souris sur la ligne qui sépare les colonnes et glissez le bord de la colonne ers le nouel emplacement. Vous pouez également redimensionner les colonnes en cliquant deux fois sur la ligne qui sépare les colonnes pour redimensionner automatiquement la colonne sur la largeur de la zone la plus grande. Remarque : Le redimensionnement des colonnes ne fonctionne pas dans les naigateurs Web Microsoft Internet Explorer, Version 7.0 lorsque les onglets affichent des enregistrements en mode de diffusion en flux. Les utilisateurs dotés de priilèges d'administration peuent configurer le nombre maximal de résultats qui s'affichent dans les tableaux sur plusieurs onglets de QRadar. 12 QRadar Network Anomaly Detection - Guide d'utilisation

23 Chapitre 2. Gestion du tableau de bord Tableaux de bord par défaut L'onglet Dashboard correspond à la ue par défaut lorsque ous ous connectez. Il fournit un enironnement d'espace de traail qui prend en charge plusieurs tableaux de bord sur lesquels ous pouez afficher os ues de sécurité des réseaux, d'actiité ou de données collectées. Le tableau de bord par défaut permet de personnaliser os éléments en ues fonctionnelles. Ces ues fonctionnelles concernent des zones spécifiques de otre réseau. L'onglet Dashboard fournit cinq tableaux de bord par défaut axés sur la sécurité, l'actiité du réseau, l'actiité des applications, la sureillance du système et la conformité. Chaque tableau de bord affiche un ensemble par défaut d'éléments de tableau de bord. Les éléments du tableau de bord agissent comme un point de départ pour accéder à des données plus détaillées. Le tableau suiant définit les tableaux de bord par défaut. Le contenu affiché sur l'onglet Dashboard est spécifique à l'utilisateur. Vous pouez personnaliser os tableaux de bord. Les modifications apportées au sein d'une session QRadar Network Anomaly Detection affectent uniquement otre système. Tableau 7. Tableaux de bord par défaut Tableau de bord par défaut Application Oeriew Eléments Le tableau de bord Application Oeriew comprend les éléments par défaut suiants : Inbound Traffic by Country/region (séries temporelles) Outbound Traffic by Country/region (séries temporelles) Top Applications (séries temporelles) Top Applications Inbound from Internet (séries temporelles) Top Applications Outbound from the Internet (séries temporelles) DSCP - Precedence (séries temporelles) Copyright IBM Corp. 2012,

24 Tableau 7. Tableaux de bord par défaut (suite) Tableau de bord par défaut Eléments Network Intelligence Le tableau de bord Network Intelligence comprend les éléments par défaut suiants : Top Talkers (en temps réel) ICMP Type/Code (séries temporelles) Top Networks by Traffic Volume (séries temporelles) Firewall Deny by DST Port (séries temporelles) Firewall Deny by DST IP (séries temporelles) Firewall Deny by SRC IP (séries temporelles) Top Applications (séries temporelles) Link Utilization (temps réel) DSCP - Precedence (séries temporelles) System Monitoring Le tableau de bord System Monitoring comprend les éléments par défaut suiants : Top Log Sources (comptage d'éénements) Link Utilization (en temps réel) System Notifications Eent Processor Distribution (séries temporelles) Eent Rate (éénements par seconde fusionnés - Moyenne 1 Min) Flow Rate (flux par seconde - moyenne 1 min) Threat and Security Monitoring Le tableau de bord Threat and Security Monitoring comprend les éléments par défaut suiants : Default-IDS/IPS-All: Top Alarm Signatures (séries temporelles) Top Systems Attacked (séries temporelles) Top Systems Sourcing Attacks (séries temporelles) My Offenses Most Seere Offenses Most Recent Offenses Outbound Eents by Country/region (en temps réel) Internet Threat Information Center Flow Bias Top Category Types Top Sources Top Local Destinations 14 QRadar Network Anomaly Detection - Guide d'utilisation

25 Tableaux de bord personnalisés Vous pouez personnaliser os tableaux de bord. Le contenu affiché dans l'onglet Dashboard représente un utilisateur spécifique. Les changements effectués dans une session QRadar affectent otre système uniquement. Pour personnaliser otre onglet Dashboard, ous pouez effectuer les tâches suiantes : Créer des tableaux de bord personnalisés adaptés à os responsabilités. Le nombre maximal est de 255 tableaux de bord par utilisateur ; toutefois, des problèmes de performance peuent se produire si ous créez plus de 10 tableaux de bord. Ajouter et supprimer des éléments de tableau de bord à partir des tableaux de bord personnalisés ou par défaut. Déplacer et positionner des éléments selon os besoins. Lorsque ous positionnez des éléments, chaque élément est automatiquement redimensionné selon les proportions du tableau de bord. Ajouter des éléments de tableau de bord personnalisés qui reposent sur n'importe quelles données. Par exemple, ous pouez ajouter un élément de tableau de bord qui fournit un graphique de séries temporelles ou un graphique à barres qui représente les 10 actiités de réseau principales. Pour créer des éléments personnalisés, ous pouez créer des recherches sauegardées sur les onglets Network Actiity ou Log Actiity et choisir comment ous souhaitez que les résultats soient représentés dans otre tableau de bord. Chaque tableau de bord affiche les données actualisées en temps réel. Les graphiques de séries temporelles sur le tableau de bord sont actualisés toutes les 5 minutes. Personnaliser otre tableau de bord Vous pouez ajouter plusieurs éléments de tableau de bord à os tableaux de bord par défaut ou personnalisés. Vous pouez personnaliser os tableaux de bord pour afficher et organiser les éléments de tableau de bord qui répondent aux exigences de sécurité de otre réseau. Il existe 5 tableaux de bord par défaut, auxquels ous pouez accéder à partir de la zone de liste Show Dashboard sur l'onglet Dashboard. Si ous aez précédemment consulté un tableau de bord aant de retourner à l'onglet Dashboard, le dernier tableau de bord consulté s'affiche. Recherche de flux Vous pouez personnaliser un élément de tableau de bord qui repose des critères de recherche enregistrés à partir de l'onglet Network Actiity. Des éléments de recherche de flux figurent dans le menu Add Item > Network Actiity > Flow Searches. Le nom de l'élément de recherche de flux correspond au nom des critères de recherche enregistrés sur lequel l'élément est basé. Chapitre 2. Gestion des éléments de tableau de bord à partir de l'onglet Dashboard 15

26 Les critères de recherche enregistrés par défaut sont disponibles et préconfigurés pour afficher les éléments de recherche de flux dans otre menu d'onglet Dashboard. Vous pouez ajouter des éléments de tableau de bord de recherche de flux supplémentaires dans otre menu d'onglet Dashboard. Pour plus d'informations, oir Ajout d'éléments de tableau de bord basés sur des recherches à la liste Add Items. Sur un élément de tableau de bord de recherche de flux, les résultats de recherche affichent des données actualisées en temps réel sur un graphique. Les types de graphiques pris en charge sont des séries temporelles, des tableaux, des graphiques circulaires et des graphiques à barres. Le type de graphique par défaut est le graphique à barres. Ces graphiques sont configurables. Pour plus d'informations sur la configuration des graphiques, oir Configuration des graphiques. Les graphiques de série temporelle sont interactifs. En utilisant des graphiques de série temporelle, ous pouez agrandir et analyser un calendrier pour étudier l'actiité du réseau. Violations Vous pouez ajouter plusieurs éléments liés à la iolation dans otre tableau de bord. Remarque : Les iolations masquées ou fermées ne sont pas incluses dans les aleurs affichées dans l'onglet Dashboard. Pour plus d'informations sur les éénements masqués ou fermés, oir Gestion des iolations. Le tableau suiant décrit les éléments de iolation : Tableau 8. Eléments de iolation Eléments de tableau de bord Most Recent Offenses Most Seere Offenses My Offenses Top Sources Les cinq iolations les plus récentes sont identifiées par une barre d'amplitude pour ous signifier leur importance. Pointez otre souris sur le nom de la iolation pour afficher des informations détaillées sur l'adresse IP. Les cinq iolations les plus graes sont identifiées par une barre d'amplitude pour ous signifier leur importance. Pointez otre souris sur le nom de la iolation pour afficher des informations détaillées sur l'adresse IP. L'élément My Offenses affiche les cinq iolations les plus récentes qui ous sont affectées. Les iolations sont identifiées par une barre d'amplitude pour ous informer de leur importance. Pointez otre souris sur l'adresse IP pour afficher des informations détaillées sur cette dernière. L'élément Top Sources affiche les principales sources de iolation. Chaque source est identifiée par une barre d'amplitude pour ous informer de son importance. Pointez otre souris sur l'adresse IP pour afficher des informations détaillées sur cette dernière. 16 QRadar Network Anomaly Detection - Guide d'utilisation