Benutzerverhaltensanalyseregeln untersuchen

Mithilfe von User Behavior Analytics-Regeln können Sie potenzielle Bedrohungen durch Insider innerhalb Ihres Netzes erkennen. Nachdem die Benutzeranalyseregeln aus IBM® QRadar® User Behavior Analytics 4.1.0 oder höher in IBM QRadar Use Case Manager 3.2.0 oder höher integriert wurden, können Sie sie verwalten und optimieren, um sie an die Anforderungen Ihres Unternehmens anzupassen. Anschließend werden die Daten automatisch in den QRadar User Behavior Analytics -Dashboards angezeigt, sodass Sie die Risiken für Ihr Netz visualisieren können.

Informationen zu dieser Task

Damit eine Regel als relevant für QRadar User Behavior Analytics betrachtet werden kann, muss die Option Neues Ereignis senden in der Regelantwort ausgewählt werden. Sie können auch andere Regeln für die Arbeit mit QRadar User Behavior Analytics zuordnen, indem Sie sie im Regelassistenten in QRadar Use Case Manager bearbeiten.

Wichtig: In QRadar User Behavior Analyticsbasiert die Anzahl der Dashboardregeln auf der Gesamtzahl der Regeln, die QRadar User Behavior Analytics erkennt, unabhängig davon, ob die Regeln installiert sind oder nicht. In QRadar Use Case Managerbasiert die Filterung auf den installierten Regeln.

Vorgehensweise

  1. Klicken Sie auf der Seite Use Case Explorer auf das Listensymbol und wählen Sie eine der folgenden Vorlagen aus:
    Alle User Behavior Analytics-Regeln
    Zeigt die Risikobewertung für alle installierten und nicht installierten User Behavior Analytics-Regeln an.
    Installierte User Behavior Analytics-Regeln
    Zeigt die Risikobewertung für installierte User Behavior Analytics-Regeln an.
    Tipp: Wählen Sie diese Vorlage aus, um Filter zu verwenden, die der Seite Regeln und Optimierung in QRadar User Behavior Analyticsähneln. Wenn Kategorieinformationen angezeigt werden sollen, fügen Sie die Spalte Inhaltskategorie hinzu. QRadar Use Case Manager enthält keine Kill-Ketteninformationen.
    Nicht installierte User Behavior Analytics-Regeln
    Diese Vorlage zeigt für nicht installierte Inhaltserweiterungen die User Behavior Analytics-Regeln an, die verfügbar sind, wenn die Erweiterungen installiert sind.
  2. Um die Risikobewertung für eine vordefinierte Regel QRadar User Behavior Analytics zu ändern, klicken Sie auf den Namen der Regel, erweitern Sie den Abschnitt Risikobewertung für Benutzerverhaltensanalyse und passen Sie die Anzahl an. Die Benutzerrisikobewertung in QRadar User Behavior Analytics wird automatisch aktualisiert.
    Eine Risikobewertung ist die Summierung aller Risikoereignisse, die von QRadar User Behavior Analytics -Regeln erkannt werden. Je höher die Risikobewertung, desto wahrscheinlicher stellt ein interner Benutzer ein Sicherheitsrisiko dar, sodass eine weitere Überprüfung der Netzaktivität des Benutzers gerechtfertigt ist. Falls kein neues Ereignis eintritt, wird die Risikobewertung mit der Zeit verringert. Regeln, die in der QRadar User Behavior Analytics-App integriert sind, weisen in der Regel einen Risikoscore im Bereich von 5–25 auf. Sie können die Risikobewertung in jedem beliebigen Bericht anzeigen, indem Sie die Spalte Rule attributes: User Behavior Analytics risk (Regelattribute: UBA-Risiko) zu Ihrer aktuellen Vorlage hinzufügen. Weitere Informationen finden Sie unter Anwendungseinstellungen konfigurieren.
  3. Führen Sie die folgenden Schritte aus, um einer Regel eine Risikobewertung hinzuzufügen und sie QRadar User Behavior Analyticszuzuordnen:
    1. Öffnen Sie die ausgewählte Regel im Regelassistenten und erweitern Sie den Abschnitt Risikobewertung für Benutzerverhaltensanalyse .
    2. Wenn die Option Neues Ereignis zustellen im Abschnitt Regelantwort nicht ausgewählt ist, klicken Sie auf Im Regelassistenten bearbeiten und führen Sie diesen Schritt jetzt aus.
    3. Ordnen Sie der Regel eine Risikobewertung zu.
    Die App QRadar User Behavior Analytics verfolgt alle Ereignisse, die die Regel generiert, und berücksichtigt die Risikobewertung in ihrer Analyse.
  4. Führen Sie die folgenden Schritte aus, wenn QRadar User Behavior Analyticskeine Regel mehr zugeordnet werden soll:
    1. Öffnen Sie die ausgewählte Regel im Regelassistenten und erweitern Sie den Abschnitt Risikobewertung für Benutzerverhaltensanalyse .
    2. Befolgen Sie die Anweisungen in der QuickInfo, um die Verbindung der Regel zu QRadar User Behavior Analyticszu trennen.
    Wenn Sie die Verweise auf die Regel aus der Referenztabelle in QRadar User Behavior Analytics entfernen, tragen alle Ereignisse, die durch den Regelstopp ausgelöst werden, zu dem Risikoscore des Benutzers bei.

Nächste Schritte

Überprüfen Sie die relevanten Berichte, die die User Behavior Analytics-Regeln enthalten. Die Regeln tragen auch zu der Taktikanzahl in den MITRE ATT&CK-Berichten bei. Sie können auch Regeln in den Dashboards in der App QRadar User Behavior Analytics visualisieren.