Creación de un modelo personalizado

Cree un modelo personalizado para medir y crear una línea base de una característica numérica para una persona por hora.

1. En el menú de navegación ( ), pulse Admin.
2. Haga clic en Aplicaciones > Análisis de entidades de usuario > Configuración Machine Learning.
3. En la página Valores deMachine Learning , pulse Crear modelo.
4. En la pestaña Definición de modelo , puede seleccionar una plantilla para rellenar el campo AQL o puede crear una consulta AQL personalizada.
5. Haga clic en Siguiente.
   
6. En la pestaña Valores generales , especifique un nombre y una descripción.
7. En el campo Valor de riesgo de suceso de detección , especifique la cantidad para aumentar la puntuación de riesgo del usuario cuando se desencadene un suceso de detección. El valor predeterminado es 5.
8. Habilite el conmutador para escalar el valor de riesgo. Cuando esté habilitado, el valor de riesgo base se multiplica por un factor (rango 1 - 10). Este factor viene determinado por la medida en la que el usuario se ha desviado del comportamiento esperado, no solo por el hecho de haberse desviado.
9. En el campo Intervalo de confianza para desencadenar anomalía , especifique el porcentaje de confianza que debe tener el algoritmo de aprendizaje automático antes de que desencadene un suceso anómalo. El valor predeterminado es 0,95.
10. En el campo Periodo de retención de datos , establezca el número de días que desea guardar los datos del modelo. El valor predeterminado es 30.
11. El conmutador Mostrar gráfico en la página Detalles de usuario está inhabilitado de forma predeterminada. Si quiere visualizar el gráfico del modelo personalizado en la página Detalles de usuario, pulse el conmutador.
12. Opcional: En el campo Filtro de búsqueda de AQL , puede añadir un filtro de AQL para acotar los datos que la analítica consulta en QRadar. Filtrando con una consulta AQL, puede reducir el número de usuarios o tipos de datos que está analizando la analítica. Antes de guardar los valores, pulse Validar consulta para iniciar una consulta AQL completa en QRadar, así puede revisar la consulta y verificar los resultados.
    Importante: Si modifica el filtro AQL, el modelo existente se marca como no válido y, a continuación, se vuelve a crear. La cantidad de tiempo que tarda la reconstrucción dependen de la cantidad de datos que devuelve el filtro modificado.
    Puede filtrar por orígenes de registro específicos, nombres de red o conjuntos de referencia que contienen usuarios específicos. Consulte los ejemplos siguientes:

    • REFERENCESETCONTAINS('Important People', username)
    • LOGSOURCETYPENAME(devicetype) in ('Linux OS', 'Blue Coat SG Appliance', 'Microsoft Windows Security Event Log')
    • INCIDR('172.16.0.0/12', sourceip) or INCIDR('10.0.0.0/8', sourceip) or INCIDR('192.168.0.0/16', sourceip)
    Para obtener más información, consulte Ariel Query Language.
13. Pulse Guardar.