Complementos

Alguns sim, outros não. Como os dados do Data Store não passam por análise ou correlação, os aplicativos acionados por dados podem não conseguir usar plenamente os dados coletados com o Data Store. Todos os demais recursos, como relatórios, análise sintática, propriedades customizadas e dashboards, devem funcionar como esperado.

Os clientes precisam usar o QRadar 7.3.1 ou superior.

O Data Store é uma sobreposição de licenciamento do QRadar que usa o armazenamento e a capacidade de processamento presentes nos processadores de eventos e nós de dados para coletar, processar e armazenar os dados identificados para o Data Store. Não são necessários novos dispositivos, mas podem ser adquiridos nós de dados adicionais para dar conta das necessidades de armazenamento de dados.

O Data Store é usado principalmente para gerenciamento de logs. Portanto, seus dados são excluídos das funcionalidades de correlação e de análise avançada de dados de segurança. Porém, os dados do Data Store podem ser usados pela maioria das funcionalidades, como pesquisa, relatório e visualização, assim como com aplicativos customizados construídos usando o QRadar App Framework.

Os dados do Data Store não podem ser usados para correlação histórica. No entanto, a política de filtragem que separa os dados do Data Store dos dados do SIEM pode ser alterada facilmente. Assim que a política for atualizada, todos os dados coletados futuramente serão incluídos em todos os processos de correlação e análise de dados no âmbito do QRadar.

Sim. Se executado em um console do QRadar, o aplicativo UBA requer o mínimo de 64 GB ou até 128 GB de memória. Além disso, considere implantar um host de aplicativo para ter acesso a todos os benefícios de executar o aplicativo UBA com o aplicativo de aprendizado de máquina habilitado.

O UBA se integra diretamente à solução QRadar Security Analytics, aproveitando a interface de usuário e o banco de dados já presentes no QRadar. Todos os dados de segurança no âmbito da empresa podem permanecer em uma localização central, e os analistas podem ajustar regras, gerar relatórios e conectar dados sem a necessidade de aprender um novo sistema.

Como o UBA compartilha o mesmo banco de dados subjacente do QRadar, toda fonte de dados ingerida no QRadar pode ser obtida e aproveitada para o UBA.

O pacote UBA é uma coleção de três aplicativos, um aplicativo LDAP para ingestão e união de informações de identidade do usuário, um aplicativo UBA para visualizar dados e análises de dados e um aplicativo de aprendizado de máquina que fornece uma biblioteca de algoritmos de aprendizado de máquina para criar modelos comportamentais das atividades do usuário.

A detecção de anomalia é uma técnica usada para identificar padrões incomuns que não se enquadram no comportamento esperado e diferem significativamente da maioria dos dados.

Pontuação de risco é a medida numérica do potencial nocivo da atividade de um usuário. Cada comportamento suspeito detectado pelo UBA impacta a pontuação de risco de um indivíduo.

Os algoritmos de aprendizado de máquina ingerem as quatro últimas semanas de dados do banco de dados compartilhado do QRadar, e geralmente levam de 3 a 24 horas para desenvolver modelos de comportamento normal.

O aplicativo UBA pode ser implementado no QRadar local, em nuvem ou com qualquer implementação híbrida ou de IaaS.

O aplicativo UBA é oferecido aos clientes do QRadar sem custo adicional.

O suporte da IBM tem colaboradores dedicados para ajudar com problemas de alta prioridade. O aplicativo UBA inclui uma seção de ajuda e suporte sobre como usar os aplicativos LDAP, UBA e de aprendizado de máquina.

Assim como nos aplicativos e módulos do QRadar, os dados em repouso são criptografados.