Überwachung ohne Bestandserfassung
Die Überwachung nicht registrierter Ressourcen (UEBA) erweitert User Entity Behavior Analytics den Überblick über die offiziell registrierten Ressourcen hinaus, indem sie Entitäten, die durch Netzwerkaktivitäten erfasst werden, automatisch identifiziert und überwacht.
Übersicht
Bisher wurden nur IP-Adressen, MAC-Adressen und Hosts überwacht, UEBA die dem QRadar® Asset-Modell zugeordnet waren. Die Überwachung nicht registrierter Ressourcen erweitert UEBA die Transparenz über offiziell registrierte Ressourcen hinaus und identifiziert und überwacht automatisch Entitäten, die im Rahmen der Netzwerkaktivität beobachtet werden
Sicherheitsteams können Netzwerkgeräte, IP-Adressen und Hosts, die nicht im QRadar Asset-Modell enthalten sind, erkennen, überwachen und untersuchen.
Hauptvorteile
- Entitäten automatisch anhand der Netzwerkaktivität ermitteln.
- Überwachen Sie Geräte, die nicht offiziell als Anlagen erfasst sind.
- Verbessern Sie den Überblick über Schatten-IT und nicht verwaltete Systeme.
- Erweiterung des Anwendungsbereichs für die Risikoanalyse und die Erkennung von Anomalien.
- Ergänzen Sie die Überwachung importierter Assets durch automatisierte Erkennung.
So funktioniert die Überwachung von Nicht-Vermögenswerten
UEBA analysiert kontinuierlich die Aktivitäten über QRadar alle Datenquellen hinweg, um Entitäten zu identifizieren, die in der Umgebung auftreten.
- Erkennung
Entitäten werden anhand folgender Merkmale identifiziert:
- Ereignisse
- Datenflüsse
- Angriffe
- Weitere Datenquellen von „ QRadar “
- Überwachung
Validierte Entitäten stehen zur Verfügung für:
- Risiko-Scoring
- Verhaltensanalyse
- Anomalieerkennung
- Workflows zur Überwachung von Entitäten
- Synchronisation
- UEBA sendet regelmäßig Heartbeat-Updates an QRadar , um die Sichtbarkeit und Nachverfolgung der erkannten Entitäten aufrechtzuerhalten.
Konfigurationsoptionen
| Einstellungsname | Beschreibung |
|---|---|
| Entitäten überwachen | Primäre Steuerung für die Entitätsüberwachung. Wenn diese Option aktiviert ist, UEBA können importierte und erkannte Entitäten überwacht werden. |
| Daten zu Nicht-Vermögenswerten überwachen | Legt fest, ob automatisch erkannte Entitäten überwacht werden. Funktioniert nur, wenn die Einstellung „Entitäten überwachen“ aktiviert ist. Wenn diese Funktion aktiviert ist, UEBA werden importierte und erkannte Entitäten überwacht. Wenn diese Option deaktiviert ist, UEBA werden nur importierte Entitäten überwacht. |
