Création d'un modèle personnalisé

Créez un modèle personnalisé pour mesurer une caractéristique numérique et établir sa référence, heure par heure, pour une personne donnée.

1. Dans le menu de navigation ( ), cliquez sur Admin.
2. Cliquez sur Applications > Analyse des entités utilisateur > Paramètres Machine Learning.
3. Sur la page Paramètres Machine Learning , cliquez sur Créer un modèle.
4. Dans l'onglet Définition de modèle , vous pouvez sélectionner un canevas pour remplir la zone AQL ou créer une requête AQL personnalisée.
5. Cliquez sur Suivant.
   
6. Dans l'onglet Paramètres généraux , entrez un nom et une description.
7. Dans la zone Valeur de risque de l'événement Sense , entrez le montant permettant d'augmenter le score de risque de l'utilisateur lorsqu'un événement Sense est déclenché. La valeur par défaut est 5.
8. Placez l'option en position active pour pondérer la valeur du risque. Lorsque cette option est activée, la valeur du risque de base est multipliée par un facteur compris entre 1 et 10. Ce facteur est déterminé par l'ampleur de l'écart de l'utilisateur par rapport à son comportement attendu.
9. Dans la zone Intervalle de confiance pour déclencher une anomalie , entrez le pourcentage de confiance que doit avoir l'algorithme d'apprentissage automatique avant de déclencher un événement anormal. La valeur par défaut est 0,95.
10. Dans la zone Durée de conservation des données , définissez le nombre de jours pendant lesquels vous souhaitez sauvegarder les données du modèle. La valeur par défaut est 30.
11. L'option Afficher le graphique sur la page Détails de l'utilisateur est désactivée par défaut. Activez-la si vous voulez afficher le graphique du modèle personnalisé dans la page Détails de l'utilisateur.
12. Facultatif: Dans la zone Filtre de recherche AQL , vous pouvez ajouter un filtre AQL pour restreindre les données pour lesquelles les requêtes analytiques sont effectuées dans QRadar. En filtrant au moyen d'une requête AQL, vous pouvez réduire le nombre d'utilisateurs ou de types de données que devra traiter l'analyse. Avant de sauvegarder vos réglages, cliquez sur Valider la requête pour lancer une requête AQL complète dans QRadar afin de pouvoir l'examiner et vérifier ses résultats.
    Important: Si vous modifiez le filtre AQL, le modèle existant est marqué comme non valide, puis régénéré. Le temps nécessaire à cette reconstruction dépendra de la quantité de données retournée par le filtre modifié.
    Le filtrage peut s'exercer sur des sources de journal particulières, des noms réseau spécifiques ou des ensembles de référence contenant des utilisateurs spécifiques. Etudiez les exemples suivants :

    • REFERENCESETCONTAINS('Important People', username)
    • LOGSOURCETYPENAME(devicetype) in ('Linux OS', 'Blue Coat SG Appliance', 'Microsoft Windows Security Event Log')
    • INCIDR('172.16.0.0/12', sourceip) or INCIDR('10.0.0.0/8', sourceip) or INCIDR('192.168.0.0/16', sourceip)
    Pour plus d'informations, voir Ariel Query Language.
13. Cliquez sur Sauvegarder.