Add-ons

Manche ja, manche nein. Da die Daten von Data Store keine Analysen oder Korrelationen durchlaufen, können analysegesteuerte Anwendungen möglicherweise die mithilfe von Data Store erfassten Daten nicht vollständig nutzen. Alle anderen Funktionen wie Berichterstellung, Syntaxanalyse, kundendefinierte Eigenschaften und Dashboards sollten jedoch den Erwartungen entsprechend funktionieren.

Die Kunden müssen QRadar 7.3.1 oder höher nutzen.

Bei Data Store handelt es sich um eine zusätzliche Lizenz-Ebene von QRadar. Diese nutzt die bestehenden Speicher- und Verarbeitungskapazitäten von Ereignisprozessoren und Datenknoten für die Erfassung, Verarbeitung und Speicherung der für Data Store identifizierten Daten. Es sind keine neuen Geräte erforderlich, jedoch können zusätzliche Datenknoten erworben werden, um die Anforderungen an die Datenspeicherung zu unterstützen.

Data Store wird vorrangig für die Protokollverwaltung eingesetzt. Daher sind die Daten dieses Add-ons von Funktionen für die Korrelation und erweiterte Sicherheitsanalyse ausgeschlossen. Jedoch können die Daten von Data Store auch von den meisten anderen Funktionen wie beispielsweise Suche, Berichterstellung und Visualisierung verwendet werden, ebenso wie von individuellen Anwendungen, die im QRadar App Framework entwickelt wurden.

Daten von Data Store können nicht für historische Korrelationen verwendet werden. Jedoch lassen sich die Filterregeln, mit denen die Daten von Data Store von denen für das SIEM getrennt werden, einfach abändern. Sobald die Regeln aktualisiert sind, werden alle künftig erfassten Daten in sämtliche Analyse- und Korrelationsprozesse in QRadar aufgenommen.

Ja – bei Betrieb auf einer QRadar-Konsole erfordert die UBA-Anwendung mindestens 64 GB oder bis zu 128 GB Hauptspeicher. Zusätzlich sollten Sie die Bereitstellung eines Anwendungshosts in Betracht ziehen, um auf alle Vorteile der UBA-Anwendung in Verbindung mit der aktivierten Anwendung für das maschinelle Lernen zugreifen zu können.

UBA integriert sich direkt in die QRadar Security Analytics Lösung und nutzt die bestehende Benutzerschnittstelle und Datenbank von QRadar. Dadurch können alle unternehmensweiten Sicherheitsdaten an einem zentralen Ort verbleiben und Analyseteams können Regeln anpassen, Berichte erzeugen und Daten verknüpfen, ohne ein neues System lernen zu müssen.

Weil UBA die gleiche zugrunde liegende Datenbank nutzt wie QRadar, können sämtliche Datenquellen, die in QRadar aufgenommen wurden, auch für UBA angezeigt und genutzt werden.

UBA wird als Paket aus 3 Anwendungen angeboten: 1 LDAP-Anwendung für die Aufnahme und Verschmelzung der Identitätsinformationen der User, 1 UBA-Anwendung für die Visualisierung der Daten und Analysen sowie 1 Anwendung für das maschinelle Lernen, die eine Bibliothek aus ML-Algorithmen bereitstellt. Die Algorithmen dienen der Entwicklung von Verhaltensmodellen für User-Aktivitäten.

Anomalieerkennung ist ein Verfahren für die Identifizierung ungewöhnlicher Muster, die nicht dem erwarteten Verhalten entsprechen und sich erheblich vom Großteil der Daten unterscheiden.

Ein Risikoscore ist ein numerisches Maß für die potenzielle Schädlichkeit der Aktivitäten von Usern. Jedes von UBA erkannte anomale Verhalten hat Einfluss auf den Risikoscore eines Users.

Die Machine-Learning-Algorithmen nehmen die Daten der letzten vier Wochen aus der gemeinsam genutzten QRadar-Datenbank auf und benötigen typischerweise zwischen 3 und 24 Stunden, um daraus Modelle für das normale Verhalten zu entwickeln.

Die UBA-Anwendung lässt sich in der On-Premises-Version von QRadar, in QRadar in der Cloud und in jedem IaaS- oder hybriden Deployment bereitstellen.

Die UBA-Anwendung wird Kunden von QRadar ohne Zusatzkosten angeboten.

Der IBM Support verfügt über dedizierte Ressourcen, die bei Problemen hoher Priorität helfen können. Die UBA-Anwendung beinhaltet einen Hilfe- und Support-Bereich für die Nutzung der Anwendungen für LDAP, UBA und ML-Analysen.

Wie bei allen QRadar-Anwendungen und Modulen werden die ruhenden Daten verschlüsselt.