UEBA-Synchronisierung für den Import von Entitätsdaten mit Referenztabellen

Übersicht zur Synchronisierung

Die Synchronisierung stellt sicher, dass die Entitätsinformationen in UEBA mit den Daten in QRadar den Referenztabellen abgestimmt bleiben. Wenn die Synchronisierung konfiguriert ist, ruft UEBA in regelmäßigen Abständen automatisch Entitätsdatensätze aus der ausgewählten Referenztabelle ab und verarbeitet diese.

Synchronisationsprozess

Der Synchronisationsvorgang läuft in folgenden Schritten ab:

1. Ein Administrator konfiguriert den Import einer Referenztabelle.
2. UEBA ruft Entitätsdatensätze aus der ausgewählten Referenztabelle ab.
3. Importierte Datensätze werden vor der Verarbeitung überprüft.
4. Gültige Entitäten werden in UEBA. importiert.
5. UEBA ruft weiterhin Aktualisierungen auf der Grundlage des konfigurierten Abfrageintervalls ab.

Synchronisierungseinstellungen

Der Synchronisationsvorgang kann mithilfe der folgenden Einstellungen konfiguriert werden:

Abfrageintervall

Legt fest, wie oft UEBA die Referenztabelle auf Aktualisierungen überprüft wird.

Abrufgrenzwert

Legt die maximale Anzahl von Datensätzen fest, die bei jedem Abfragezyklus abgerufen werden.

Synchronisierung der Referenztabelle

Aktiviert oder deaktiviert die automatische Synchronisierung mit der ausgewählten Referenztabelle.

Wahlverhalten

Wenn die Synchronisierung aktiviert ist, UEBA zeigt das System das folgende Abfrageverhalten:

• UEBA Fragt die konfigurierte Referenztabelle automatisch in dem angegebenen Intervall ab.
• Neue und aktualisierte Datensätze werden in jedem Abfragezyklus verarbeitet.
• Datensätze, die die Validierung nicht bestehen, werden übersprungen.
• Administratoren können über „Poll Now“ eine sofortige Synchronisierung auslösen.

Dieser Synchronisationsmechanismus trägt dazu bei, dass die Entitätsinformationen in UEBA mit den Daten in QRadar den Referenztabellen abgestimmt bleiben.