Каким образом в компоненте data store настраивается разделение данных, предназначенных для хранения и анализа? 

 

data store настраивается с помощью простого фильтра сбора данных на уровне qradar. Выбрав источник данных или критерии событий из источника данных, можно быстро указать, какие именно данные следует передавать напрямую в data store. Фильтр можно изменить в любой момент - изменения вступают в силу сразу. 

Используют ли приложения, устанавливаемые из app exchange, данные из data store?

 

Все зависит от приложения. Поскольку данные data store не обрабатываются средствами аналитики и корреляции, аналитические приложения могут использовать не все данные, собранные с помощью data store. Все остальные функции, такие как создание отчетов, анализ, пользовательские свойства и сводные панели, должны работать надлежащим образом. 

Какие функции qradar будут доступны для данных, собранных компонентом data store? 

 

Поскольку data store предназначен для управления протоколами, его данные исключены из средств корреляции и расширенного анализа безопасности. Однако, данные data store могут использоваться большинством остальных функций, таких как поиск, создание отчетов, визуализация и пользовательские приложения, созданные с помощью qradar app framework. 

Можно ли преобразовать данные, собранные data store, для последующего применения в сценариях использования в области безопасности? 

 

Данные data store нельзя использовать для хронологической корреляции. Однако, вы можете внести изменения в политику фильтрации, которая разделяет данные data store и данные siem. После обновления политики все данные, которые будут собираться в будущем, включаются во все процессы аналитики и корреляции qradar.

Какая версия qradar требуется для применения data store? 

 

Клиенты должны использовать версию 7.3.1 или выше. 

Какие типы устройств поддерживают data store? 

 

data store представляет собой лицензируемое дополнение qradar, использующее существующие ресурсы хранения данных и вычислительные ресурсы обработчиков событий и узлов данных для сбора, обработки и хранения данных. Новые устройства не нужны, но может потребоваться приобрести дополнительные узлы данных, чтобы компенсировать увеличение объема сохраняемых данных.