Creazione di un modello personalizzato

Creare un modello personalizzato per misurare e basare una funzione numerica per una persona all'ora.

1. Sul menu di navigazione ( ), fare clic su Admin.
2. Fare clic su Applicazioni > User Entity Analytics > Impostazioni Machine Learning.
3. Nella pagina Impostazioni diMachine Learning , fare clic su Crea modello
4. Nella scheda Definizione modello , è possibile selezionare un modello per popolare il campo AQL oppure è possibile creare una query AQL personalizzata.
5. Fare clic su Avanti.
   
6. Nella scheda Impostazioni generali , immettere un nome e una descrizione.
7. Nel campo Valore di rischio dell'evento sense , immettere la quantità per aumentare il punteggio di rischio dell'utente quando viene attivato un evento sense. Il valore predefinito è 5.
8. Abilita la scalabilità del valore di rischio. Quando questa opzione è abilitata, il valore del rischio di base viene moltiplicato per un fattore (intervallo 1 - 10). Questo fattore è determinato da quanto l'utente devia dal comportamento previsto e non solo da quanto ha deviato.
9. Nel campo Intervallo di confidenza per attivare l'anomalia , immettere la percentuale di confidenza che l'algoritmo di machine learning deve avere prima di attivare un evento anomalo. Il valore predefinito è 0.95.
10. Nel campo Periodo di conservazione dei dati , impostare il numero di giorni per cui si desidera salvare i dati del modello. Il valore predefinito è 30.
11. L'attivazione Mostra grafico nella pagina Dettagli utente è disabilitata per impostazione predefinita. Se si desidera visualizzare il grafico del modello personalizzato nella pagina Dettagli utente , fare clic sul pulsante di attivazione / disattivazione.
12. Facoltativo: nel campo Filtro di ricerca AQL , è possibile aggiungere un filtro AQL per restringere i dati per cui l'analitica esegue la query in QRadar. Filtrando con una query AQL, è possibile ridurre il numero di utenti o i tipi di dati che l'analitica sta analizzando. Prima di salvare le impostazioni, fare clic su Convalida query per avviare una query AQL completa in QRadar in modo da poter esaminare la query e verificare i risultati.
    Importante: se si modifica il filtro AQL, il modello esistente viene contrassegnato come non valido e viene quindi rigenerato. La durata della rigenerazione dipende dalla quantità di dati restituita dal filtro modificato.
    È possibile filtrare in base a specifiche origini log, nomi di rete o serie di riferimento che contengono utenti specifici. Consultare i seguenti esempi:

    • REFERENCESETCONTAINS('Important People', username)
    • LOGSOURCETYPENAME(devicetype) in ('Linux OS', 'Blue Coat SG Appliance', 'Microsoft Windows Security Event Log')
    • INCIDR('172.16.0.0/12', sourceip) or INCIDR('10.0.0.0/8', sourceip) or INCIDR('192.168.0.0/16', sourceip)
    Per ulteriori informazioni, consultare Ariel Query Language.
13. Fare clic su Salva.