Creación de listas de observación

Puede añadir y configurar listas de seguimiento que incluyan miembros basados en usuarios, miembros basados en entidades y listas de seguimiento híbridas que combinen miembros basados en usuarios y entidades.

1. En la página Visión general de UEBA principal (Panel de control) o en la página Detalles de usuario , pulse el icono Lista de observación .
2. En el menú, seleccione Crear nueva lista de observación. Para añadir un usuario a una lista de observación existente, pulse Añadir a la lista de observación.
3. En la pestaña Valores generales , especifique un nombre de lista de observación.
   Seleccione una de las opciones de la lista de seguimiento:

   • Usuario: seleccione esta opción para crear una lista de seguimiento para los usuarios.
   • Entidad: seleccione esta opción para crear una lista de seguimiento para entidades.
   • Híbrido: seleccione esta opción para crear una lista de seguimiento combinada para usuarios y entidades.
4. Establezca la puntuación de riesgo del usuario cambiando el valor en el campo «Riesgo de la escala de usuario por factor ». Si selecciona el factor predeterminado «1», la puntuación de riesgo no variará.
5. Establezca la puntuación de riesgo de la entidad cambiando el valor en el campo «Riesgo de la escala de la entidad por factor ». Si selecciona el factor predeterminado «1», la puntuación de riesgo no variará.
6. En la sección Prioridad de seguimiento deMachine Learning , seleccione la prioridad de cómo se realiza el seguimiento de los usuarios mediante el análisis de Machine Learning .
   • Los usuarios altos siempre se rastrean hasta el máximo de usuarios por analítico de Machine Learning .
   • Normal-Los usuarios son rastreados por el riesgo más alto después de que se hayan incluido todos los usuarios con riesgo alto.
   • Nunca- Machine Learningno realiza el seguimiento de los usuarios.
7. Establezca el intervalo de actualización (en horas) para controlar la frecuencia con la que se actualiza la pertenencia a la lista de seguimiento. Un valor de cero significa desactivado o solo actualización manual.
   Nota: Una lista de vigilancia híbrida puede incluir simultáneamente usuarios y entidades.
   El siguiente ejemplo muestra la configuración de la lista de seguimiento.

   

   
8. En la pestaña Configuración de membresía de usuario, configure cómo se determinan los miembros:
   1. Opcional: En el campo Importar desde QRadar® conjunto de referencia , busque un conjunto de referencia o pulse para seleccionar un conjunto de referencia de la lista para importar todas las entradas del conjunto de referencia. Después de seleccionar un conjunto de referencia, pulse el enlace para revisarlo.
      Nota: La lista puede contener conjuntos de referencia que no tienen nombres de usuario.
      
   2. Opcional: en el campo Añadir desde usuarios supervisados con filtro regex, puede seleccionar una propiedad de usuario e introducir una expresión regular válida POSIX para seleccionar usuarios que ya se encuentran en la base de datos UEBA. Junto a cada filtro de expresión regular se muestra un recuento de usuarios coincidentes para ayudar a los administradores a ver el alcance del filtro en tiempo real.
      
9. En la pestaña Configuración de la membresía de la entidad, configure cómo se determinan los miembros:
   1. Opcional: En el campo Importar desde QRadar conjunto de referencia , busque un conjunto de referencia o pulse para seleccionar un conjunto de referencia de la lista para importar todas las entradas del conjunto de referencia. Después de seleccionar un conjunto de referencia, pulse el enlace para revisarlo.
      Nota: La lista puede contener conjuntos de referencia que no tienen nombres de usuario.
   2. Opcional: En el campo Añadir desde usuarios supervisados con filtro regex, puede seleccionar regex en las propiedades de la entidad (por ejemplo, Forex:). Dirección IP, nombre de host, usuarios vinculados) para rellenar dinámicamente la lista de seguimiento. Junto a cada filtro de expresión regular se muestra un recuento de usuarios coincidentes para ayudar a los administradores a ver el alcance del filtro en tiempo real. Si selecciona Dirección IP (rango CIDR), puede elegir entre una lista de rangos CIDR que ya están disponibles en el sistema. Estos rangos de IP predefinidos se pueden seleccionar según sea necesario.
10. Después de configurar los ajustes de membresía, haz clic en Guardar.
11. Vaya al panel de control de UEBA para ver las entidades que se han añadido a una lista de vigilancia. Revise las entidades mostradas, que se actualizan automáticamente según el intervalo de actualización configurado en los ajustes de la lista de seguimiento.
    Nota: El panel de control de UEBA solo muestra un número limitado de entidades.
12. Para ver todas las entidades asociadas a la lista de seguimiento, haga clic en Ver todas las entidades en el panel de control. El sistema navega a la página Lista de seguimiento, donde se muestra la lista completa de entidades.