Présentation du processus

L'application UEBA fonctionne avec votre système QRadar® pour collecter des données sur les utilisateurs au sein de votre réseau.

Diagramme de présentation du processus

Fonctionnement d' UEBA

  1. Les journaux envoient des données à QRadar.
  2. Les règles spécifiques à UEBA recherchent certains événements (en fonction des règles UEBA qui sont activées) et déclenchent un nouvel événement Sense qui est lu par l'application UEBA .
  3. Les règles UEBA exigent que les événements aient un nom d'utilisateur et d'autres tests (passez en revue les règles pour voir ce qu'elles recherchent).
  4. UEBA extrait la valeur senseValue d'une table de référence et le nom d'utilisateur de l'événement Sense, puis augmente le score de risque de cet utilisateur de la valeur senseValue .
  5. Lorsque le score de risque d'un utilisateur dépasse le seuil que vous avez défini dans la page UEBA Paramètres, UEBA envoie un événement qui déclenche la règle "UBA: Create Offense" et une infraction est créée pour cet utilisateur.

Score de risque

Un score de risque est la somme de tous les événements de risque détectés par les règles UEBA. Plus le score est élevé, plus il est probable qu'un utilisateur interne représente un risque pour la sécurité et justifie un examen plus approfondi de l'activité réseau de cet utilisateur. Le score de risque diminue au fil du temps si aucun nouvel événement ne se produit. Le montant de la réduction est contrôlé à partir de la valeur de la zone Decay risk by this factor per hour sur la page UEBA Settings.

Mode d'utilisation des valeurs senseValue pour créer des scores de risque d'utilisateur

Chaque règle et analyse ont une valeur attribuée qui indique la gravité du problème détecté. Dès qu'une action utilisateur provoque le déclenchement d'une règle, cette valeur est ajoutée au score pour l'utilisateur. Plus l'utilisateur "viole" une règle, plus le score est élevé.

Règles et événements Sense

Les règles, lorsqu'elles sont déclenchées, génèrent des événements Sense permettant de déterminer le score de risque de l'utilisateur.

Vous pouvez mettre à jour des règles existantes dans QRadar pour générer des événements Sense. Pour plus d'informations, voir Intégrer du contenu nouveau ou existant sur QRadar avec l'application UEBA.

Machine Learning Analytics et événements Sense

Vous pouvez installer l'application Machine Learning Analytics et activer l'analyse d'apprentissage automatique pour identifier les comportements utilisateur anormaux. Les analyses, lorsqu'elles sont déclenchées, génèrent des événements Sense qui augmentent également le score de risque d'un utilisateur.