Filtrer les alarmes pour LogRhythm

Rversion finale: Xanadu

Mis à jour 1 août 2024

2 minutes de lecture

Définir des critères de filtrage pour les alarmes une fois que vous avez mappé les champs vous aide à déterminer quelles alarmes doivent être ingérées dans l’application SIR. Le filtrage des alarmes vous aide à réduire considérablement le nombre d’alarmes que vous ingérez lorsque le profil d’alarme est activé.

Avant de commencer

Rôle requis : sn_si.admin

Pourquoi et quand exécuter cette tâche

Utilisez les conditions de filtrage au bas du formulaire de mappage pour filtrer des alarmes spécifiques ou limiter l’ingestion aux seules alarmes qui répondent à certains critères au niveau du champ. Le filtrage réduit considérablement le nombre d’alarmes que vous ingérez une fois que le profil d’alarme est activé. Utilisez le filtrage pour ingérer une quantité gérable d’alarmes que le personnel de votre centre des opérations de sécurité (SOC) peut prendre en charge.

Remarque :

L’exemple suivant montre un paramètre de filtre par défaut dans lequel l’état de l’alarme ne contient pas fermé est le paramètre par défaut. Ce filtre n’extrait que les alarmes actives, et ce paramètre réduit le nombre d’alarmes extraites. Les étapes suivantes illustrent comment ajouter un autre filtre utile qui inclut uniquement les alarmes avec les valeurs de gravité ou de priorité les plus élevées.

Procédure

Pour modifier les critères de filtrage, cochez la case Filtre basé sur les conditions .
À droite du champ Conditions de filtre , cliquez sur OU ou ET.
Dans la nouvelle ligne qui s’affiche, sélectionnez les conditions de filtrage dans les listes de choix.

L’image suivante montre un filtre supplémentaire ajouté aux critères dans lesquels la priorité basée sur le risque (RBP max) est supérieure à 50. Avec ce paramètre de filtre, seules LogRhythm les alarmes dont la valeur de priorité basée sur le risque est supérieure à 50 sont déclenchées.

Après avoir vérifié que tous les champs d’alarme critiques LogRhythm sont mappés à l’incident de sécurité et que vous avez défini des critères de filtrage pour limiter l’ingestion Now Platform d’alarmes, choisissez-en un pour poursuivre la configuration.

Option	Description
Continuer ou prévisualiser	Le formulaire d’aperçu de l’incident de sécurité avec votre configuration de mappage s’affiche. L’aperçu est sélectionné dans la barre de progression. L’étape suivante consiste à afficher l’incident de sécurité avec vos alarmes mappées.
Mettre à jour	Enregistrez vos données et revenez à la liste Profils d’alarme .
Précédent	L’enregistrement du profil d’alarme s’affiche.
Supprimer	Supprimez ce profil d’alarme et la liste des profils d’alarme s’affiche.

Que faire ensuite

L’étape suivante consiste à prévisualiser vos champs mappés sur l’incident de sécurité. Consultez Aperçu de l’incident de sécurité avec les valeurs d’alarme mappées LogRhythm.