Regeln und Optimierung für Multi-Tenant-Funktionalität in UEBA

Die Regeln sind standardmäßig für jede UEBA -Instanz aktiviert oder inaktiviert, um die Multi-Tenant-Funktionalität in der User Entity Behavior Analytics -App (UEBA) 3.6.0 und höher zu unterstützen. Wenn Sie Änderungen an Regeln für eine Untergruppe der Instanzen benötigen, müssen Sie das Regelverhalten manuell ändern.

Die folgende Prozedur muss vom QRadar® -Administrator oder MSSP-Administrator ausgeführt werden.

Standardmäßig sind alle Regeln für jede Instanz von UEBAaktiviert oder inaktiviert. Falls es für Ihre Zwecke erforderlich ist, eine Regel für eine Untergruppe der Instanzen wirksam werden zu lassen, müssen Sie die Regel wie folgt bearbeiten:
  1. Erstellen Sie eine Kopie der Regel und benennen Sie die Regel und das Ereignis der jeweiligen Situation entsprechend um. Beispiel: Wenn die Regel "UBA: Terminated User Activity" für Domain1 aktiviert werden soll, für die anderen Domänen aber nicht, kopieren Sie die Regel und benennen sie zu "UBA: Terminated User Activity Domain1" um. Benennen Sie das Ereignis gleichermaßen um.
  2. Fügen Sie in der neuen Regel den Test "when the domain is one of the following" ("wenn es sich bei der Domäne um eine der folgenden handelt") hinzu und wählen Sie die Domänen aus, für die er gelten soll. Verschieben Sie den Test an die oberste Position in der Liste.
  3. Wenn es sich bei der Regel um eine Regel handelt, die Daten an bestimmte Referenzdaten ausgibt, ändern Sie die Einstellung von 'Shared Data' (Gemeinsame Daten) zu 'Domain Specific' (Domänenspezifisch).
  4. Vergewissern Sie sich, dass die neue Regel aktiviert ist.
  5. Speichern Sie die Regel.
  6. Vergewissern Sie sich, dass die ursprüngliche Regel inaktiviert ist. Anmerkung: Sie sollten die beabsichtigte Domäne von der ursprünglichen Regel ausschließen, wenn die Regel nach der Erstellung der Kopie noch erforderlich ist.

Bekanntes Problem

In QRadar 7.4.0 Fixpack 1 gibt es keine Möglichkeit, die Regelbegrenzerdomäne zu erkennen. Jede Regel, die für mehr als nur eine einzige Domäne gilt, wird dementsprechend domänenübergreifend begrenzt. Wenn z. B. Domain1 und Domain2 beide einen "Max Mustermann" haben, der innerhalb des Begrenzungszeitrahmens dieselbe Regel auslöst, wird nur einer der Benutzer von der Regel markiert.