如果事件有效载荷有一段时间没有发生，如何在qradar中设置规则？

Question

我想设置规则，如果qradar没有在事件有效负载中找到字符串一周？我该怎么做呢？

我正在寻找条件清单，但我没有找到任何合适的条件。我有一个例子：when the event(s) have not been detected by one or more of there log source types for this many seconds，但是我认为它不太适合我，因为我需要处理有效负载。有人能帮我解决这个问题吗？

Answer 1

解决这个问题的一种方法是使用引用集。这方面的一个概念被解释为这里。您需要两个规则和一个引用集：

参考集

创建引用集，并将生存期配置为应检测缺勤时间。

第1条(跟踪者规则)

设置一个规则，触发要检测其缺勤的模式。在您的情况下，有效负载中的字符串。选择“添加到引用集”作为规则响应。使用上面的参考集。

第2条(看守规则)

创建第二个规则，该规则触发事件名称(或QID)“引用数据过期”。可能您也需要引用集的名称和/或过期元素的自定义事件属性。使用此CEP，您可以测试规则1中添加的项目是否过期。