EBA: Webgerät, das Protokolle zur seitlichen Bewegung bei Ereignissen verwendet, die vom lokalen System erkannt werden
Die QRadar® User Entity Behavior Analytics (UEBA)-App unterstützt Anwendungsfälle, die auf Regeln für bestimmte Verhaltensabweichungen basieren.
EBA: Webgerät, das Protokolle zur seitlichen Bewegung bei Ereignissen verwendet, die vom lokalen System erkannt werden
Standardmäßig aktiviert
Ja
Standard- senseValueDestination
0
Standard- senseValueSource
10
Beschreibung
Erkennt potenzielle laterale Bewegungsaktivitäten, wenn ein Host, der zuvor über Standard-Web-Ports kommuniziert hat, nun über gängige Protokolle für laterale Bewegung kommuniziert. Die Regel wird ausgelöst, wenn innerhalb von 30 Minuten nach einer Web-Port-Aktivität von derselben Quell-IP mindestens 20 Mal eine Lateral-Movement-Port-Aktivität festgestellt wird.
Regeln für die Unterstützung
- BB:UBA : Common Log Source Filter (Allgemeiner Protokollquellenfilter)
- BB:UBA: Anschlüsse für seitliche Bewegung
- BB:PortDefinition : Web-Ports
Protokollquellentypen
Firewall-Protokolle, Netzwerkfluss ( NetFlow ), EDR-Telemetrie