Learned Peer Group
Das Modell Learned Peer Group (Erlernte Peergruppe) identifiziert Benutzer, die ähnliche Aktivitäten ausführen, und ordnet diese dann Peergruppen zu.
Aktivieren Sie das Modell Learned Peer Group (Erlernte Peergruppe), um auf der Seite User Details (Benutzerdetails) anzuzeigen, in welchem Maß der Benutzer von der abgeleiteten Peergruppe abwich, der er als zugehörig betrachtet wurde. Wenn sich die aktuelle Peergruppe eines Benutzers signifikant von früheren Gruppen unterscheidet, wird ein Prüfereignis generiert, um die Risikobewertung des Benutzers zu erhöhen.
Ereignisname
UBA : Deviation from learned peer group (Abweichung von erlernter Peergruppe)
sensevalue
5
Erforderliche Konfiguration
Wählen Sie im Feld "Gruppieren nach" eine Gruppe aus, z. B. "Jobbezeichnung", "Abteilung" oder "Benutzerdefinierte Gruppe", um das Modell zu aktivieren. Gruppen werden in der Benutzerimportoptimierungskonfiguration definiert, die aus den Benutzerimportdaten stammt. Weitere Informationen finden Sie unter Benutzerimportkonfigurationen optimieren.
Um das Modell Learned Peer Group in QRadar 7.4.3 und höher zu aktivieren, müssen Sie einen App-Host installieren. Weitere Informationen finden Sie unter App-Hosts.
Sie benötigen Ereignisdaten aus 7 Tagen, damit die Analyse Learned Peer Group ein Modell erstellt.
Protokollquellentypen
Jede Protokollquelle mit Ereignissen, die einen Benutzernamen bereitstellen.