Configuración de valores de aplicación

Para ver información en la aplicación IBM® QRadar® User Entity Behavior Analytics (UEBA), debe configurar los valores de la aplicación UEBA .

1. En el menú de navegación ( ), pulse Admin.
2. Pulse el icono Valores de UBA . (Apps > User Entity Analytics > UBA Settings ).
3. En la sección Valores de aplicación, configure los valores siguientes:

   Opción	Descripción
   Supervisar solo usuarios importados	Al seleccionar el valor Supervisar solo usuarios importados , la aplicación UEBA no supervisará los nuevos usuarios que se descubran a partir de sucesos. UEBA supervisará sólo los usuarios que haya importado.
   Umbral de riesgo para el usuario	Indica a qué punto debe llegar la puntuación de riesgo de un usuario para que se desencadene un delito en relación con dicho usuario. Una puntuación de riesgo es la suma de todos los sucesos de riesgo que detectan las reglas de UEBA . Seleccione una de las opciones siguientes: Dinámico: el valor predeterminado es 4.0. Cuanto más alto sea el valor, más alto será el umbral dinámico, lo que resultará en menos delitos. Desactive Generar un delito para usuarios de alto riesgo hasta que los valores se hayan ejecutado durante al menos un día. El valor del umbral dinámico se actualiza cada hora, en función de la distribución de la puntuación de riesgo en el sistema. Puede determinar si desea habilitar el valor basándose en el número de delitos que se pueden desencadenar. Consulte la sugerencia para obtener más información. Nota: Si no hay suficiente variedad en sus puntuaciones, la puntuación de riesgo se establece en +10 del usuario de riesgo más alto. Se queda así para evitar que se generen innecesariamente muchos delitos. Estático: el valor predeterminado es 100.000. El valor se establece de forma predeterminada como un valor elevado para evitar que se desencadenen delitos antes de que se analice el entorno. Puede activar Generar un delito para los usuarios de alto riesgo para abrir un delito con un tipo de nombre de usuario para los usuarios que superen el umbral de riesgo. Puede determinar si desea habilitar el valor basándose en el número de delitos que se pueden desencadenar. Sugerencia: Considere la posibilidad de configurar UEBA y dejar el valor predeterminado. Permita que los valores se ejecuten durante, como mínimo, un día para ver el tipo de puntuaciones devueltas. Tras unos días, revise los resultados en el panel de control para determinar un patrón. A continuación, puede ajustar el entorno. Por ejemplo, si ve a una o dos personas con puntuaciones alrededor de 500, pero la mayoría rondan una puntuación de 100, puede definir el umbral en 200 o 300. Así, el valor "normal" en su entorno se situaría alrededor de 100 y las puntuaciones superiores serían las que requerirían su atención.
   Entidad Umbral de riesgo	Indica el nivel que debe alcanzar la puntuación de riesgo de una entidad antes de que se desencadene una infracción contra ella. Una puntuación de riesgo es la suma de todos los sucesos de riesgo que detectan las reglas de UEBA . Seleccione una de las opciones siguientes: Dinámico: el valor predeterminado es 4.0. Cuanto más alto sea el valor, más alto será el umbral dinámico, lo que resultará en menos delitos. Desactive Generar una infracción para usuarios y entidades de alto riesgo hasta que la configuración se haya ejecutado durante al menos un día. El valor del umbral dinámico se actualiza cada hora, en función de la distribución de la puntuación de riesgo en el sistema. Puede determinar si desea habilitar el valor basándose en el número de delitos que se pueden desencadenar. Consulte la sugerencia para obtener más información. Nota: Si no hay suficiente variedad en sus puntuaciones, la puntuación de riesgo se establece en +10 del usuario de riesgo más alto. Se queda así para evitar que se generen innecesariamente muchos delitos. Estático: el valor predeterminado es 100.000. El valor se establece de forma predeterminada como un valor elevado para evitar que se desencadenen delitos antes de que se analice el entorno. Sugerencia: Considere la posibilidad de configurar UEBA y dejar el valor predeterminado. Permita que los valores se ejecuten durante, como mínimo, un día para ver el tipo de puntuaciones devueltas. Tras unos días, revise los resultados en el panel de control para determinar un patrón. A continuación, puede ajustar el entorno. Por ejemplo, si ve a una o dos personas con puntuaciones alrededor de 500, pero la mayoría rondan una puntuación de 100, puede definir el umbral en 200 o 300. Así, el valor "normal" en su entorno se situaría alrededor de 100 y las puntuaciones superiores serían las que requerirían su atención.
   Decaimiento del riesgo por este factor por hora	El decaimiento del riesgo es el porcentaje en el que la puntuación de riesgo se reduce cada hora. El valor predeterminado es 0,5. Sugerencia: Cuanto más alto es el número, más rápido se decae la puntuación de riesgo; cuanto más bajo es el número, más lento decae la puntuación de riesgo. Un valor de cero inhabilitará la característica.
   Rango de fechas para gráfico de detalle de usuario	El rango de fechas que aparece para el gráfico de detalles de usuario en la página Detalles de usuario. El valor predeterminado es 1.
   Duración del estado de la investigación	Número de horas (1 - 10,000) asignado para completar una investigación.
   Intervalo de inactividad de usuario	La página Detalles de usuario muestra una línea temporal con la actividad agrupada por sesiones. Si un usuario no está activo durante el tiempo especificado en el campo Intervalo de inactividad de usuario, la sesión finaliza. El valor predeterminado es 15 minutos.
   Umbral de cuenta inactiva	Número de días durante los que los usuarios permanecen inactivos antes de que pasar a considerarse inactivos. El valor predeterminado es de 14 días. Para más información, consulte Cuentas inactivas.
   Puntuación de riesgo máxima	Especifique un valor para establecer el límite para la puntuación de riesgo máxima en la página Reglas y ajuste. Las puntuaciones de riesgo actuales no se ven afectadas por cambios en este valor. Nota: las reglas que se entregan con la aplicación UEBA normalmente tienen una puntuación de riesgo en el rango de 5 a 25.
   Buscar activos para nombre de usuario cuando este no esté disponible para los datos de flujo o sucesos	Marque el recuadro de selección para buscar nombres de usuario en la tabla de activos. La aplicación UEBA utiliza activos para buscar una dirección IP en un usuario cuando no se lista ningún usuario en un suceso. Importante: Esta característica puede provocar problemas de rendimiento en la aplicación UEBA y en el sistema QRadar . Importante: Habilitar el recuadro de selección Buscar activos para nombre de usuario, cuando el nombre de usuario no está disponible para datos de sucesos o flujos en la página Valores de UBA puede hacer que la página Detalles de usuario no se cargue. Revise las páginas Reglas para determinar si las reglas habilitadas requieren este valor. Si no es así, debería inhabilitarse. Sugerencia: Si se supera el umbral de tiempo de espera de consulta, la aplicación no devuelve ningún dato. Si recibe un mensaje de error en el panel de control de UEBA , desmarque el recuadro de selección y pulse Renovar.
   Mostrar indicadores de país/región con direcciones IP	Desmarque el recuadro de selección si no desea mostrar indicadores de país o región para las direcciones IP.
   Entidades supervisadas	Desactive la casilla si no desea supervisar las entidades.
   Supervisar únicamente las entidades importadas	Cuando está activada, solo se supervisan las entidades importadas a través de CSV o mediante la importación de tablas de referencia. Por defecto, esta opción está desactivada. Esta función solo funciona cuando la opción «Supervisar entidades» está activada.
   Supervisión de dispositivos de red, direcciones IP y hosts que no tienen un activo asociado	Cuando está activada, solo se supervisan los activos no identificados. Por defecto, esta opción está desactivada. Esta función solo funciona cuando la opción «Supervisar entidades» está activada.