Neue Konten

Einem Benutzer können mehrere Konten (Aliasnamen) zugeordnet sein. Diese Zuordnung wird erreicht, indem bei der Optimierung der Importkonfigurationen für Benutzerimporte Verbindungen konfiguriert werden. Accounts, deren Eigner ein Benutzer ist, werden UEBA mit drei Methoden hinzugefügt:

Durch den Import von Attributen aus einer LDAP-Quelle.
Hinzufügen von Benutzern aus einem QRadar® -Referenzset aus einer Beobachtungsliste, die in UEBAerstellt wurde.
Durch Erkennung von Benutzern aus einem Prüfereignis. Dies kann auf die ersten beiden Methoden beschränkt werden, indem die Option Nur importierte Benutzer überwachen im Abschnitt "Anwendungseinstellungen" auf der Seite " UEBA -Einstellungen" festgelegt wird.

Ein Konto, das UEBA aus LDAP oder einer Beobachtungsliste hinzugefügt wird, hat erst dann eine Bewertung, wenn sie in einem von QRadarkonsumierten Ereignis angezeigt werden. Ein Konto, das aus einem Prüfereignis hinzugefügt wurde, erhält sofort eine Bewertung, und zwar aus dem Prüfereignis, das es erkannt hat.

Antworten auf neue Konten

Neue Konten werden als aktiv eingestuft, nachdem Sie in einem Ereignis vorgekommen sind. Weitere Informationen zum Kontostatus finden Sie unter Ruhende Konten. Die Regel "UBA: New Account Use Detected" wird auch durch das Einmalereignis ausgelöst, das von der App gesendet wird. Benutzerdefinierte Antworten können mithilfe des Ereignisses "New Account Use Detected (QID 104000014)" erstellt werden.