Machine Learning Modelos de usuario

Para ver información en la aplicación Machine Learning Analytics , debe configurar los valores de Machine Learning para los modelos de usuario.

1. En el menú de navegación ( ), pulse Admin.
2. Haga clic en Aplicaciones > Análisis de entidades de usuario > Configuración Machine Learning.
3. En la página Valores de Machine Learning , pulse Habilitado para activar el modelo seleccionado.
4. Pulse el nombre del modelo si quiere editar los valores predeterminados.
5. En el campo Valor de riesgo de suceso de detección , especifique la cantidad para aumentar la puntuación de riesgo del usuario cuando se desencadene un suceso de detección. El valor predeterminado es 5.
6. Habilite el conmutador para escalar el valor de riesgo. Cuando esté habilitado, el valor de riesgo base se multiplica por un factor (rango 1 - 10). Este factor viene determinado por la medida en la que el usuario se ha desviado del comportamiento esperado, no solo por el hecho de haberse desviado.
7. En el campo Intervalo de confianza para desencadenar anomalía , especifique el porcentaje de confianza que debe tener el algoritmo de aprendizaje automático antes de desencadenar un suceso anómalo. El valor predeterminado es 0,95.
8. En el campo Periodo de retención de datos , establezca el número de días que desea guardar los datos del modelo. El valor predeterminado es 30.
9. El conmutador Mostrar gráfico en la página Detalles de usuario está habilitado de forma predeterminada para visualizar el gráfico seleccionado en la página Detalles de usuario . Si no quiere visualizar un gráfico en la página Detalles de usuario, pulse el conmutador.
10. Para los modelos de grupo de homólogos y distribución de actividad, en el campo Agrupar por , seleccione el grupo que desea que utilice la analítica de grupo de homólogos seleccionada.
11. Opcional: En el campo Filtro de búsqueda de AQL , puede añadir un filtro de AQL para acotar los datos que la analítica consulta en QRadar. Filtrando con una consulta AQL, puede reducir el número de usuarios o tipos de datos que está analizando la analítica. Antes de guardar los valores, pulse Validar consulta para iniciar una consulta AQL completa en QRadar, así puede revisar la consulta y verificar los resultados.
    Importante: Si modifica el filtro AQL, el modelo existente se marca como no válido y, a continuación, se vuelve a crear. La cantidad de tiempo que tarda la reconstrucción dependen de la cantidad de datos que devuelve el filtro modificado.
    Puede filtrar por orígenes de registro específicos, nombres de red o conjuntos de referencia que contienen usuarios específicos. Consulte los ejemplos siguientes:

    • REFERENCESETCONTAINS('Important People', username)
    • LOGSOURCETYPENAME(devicetype) in ('Linux OS', 'Blue Coat SG Appliance', 'Microsoft Windows Security Event Log')
    • INCIDR('172.16.0.0/12', sourceip) or INCIDR('10.0.0.0/8', sourceip) or INCIDR('192.168.0.0/16', sourceip)
    Para obtener más información, consulte Ariel Query Language.
12. Pulse Guardar.