UEBA でのマルチテナンシーのルールとチューニング

これらのルールは、 User Entity Behavior Analytics (UEBA) アプリ 3.6.0 以降でマルチテナンシーをサポートするために、すべての UEBA インスタンスに対してデフォルトで有効または無効になっています。 インスタンスのサブセットのルールを変更する必要がある場合は、ルールの動作を手動で変更する必要があります。

以下の手順は、 QRadar® 管理者または MSSP 管理者が実行する必要があります。

デフォルトでは、 UEBAのすべてのインスタンスについて、すべてのルールが有効または無効になっています。 インスタンスのサブセットに対してルールを機能させる必要がある場合は、次のようにしてルールを編集する必要があります。
  1. ルールのコピーを作成し、ルールとイベントを、その状況に合うように名前変更します。 例えば、Domain1 ではルール「UBA : 終了したユーザー・アクティビティー」を有効にし、他のドメインでは有効にしない場合、このルールをコピーして「UBA : 終了したユーザー・アクティビティー Domain1」のように名前変更します。 イベントも同様に名前変更します。
  2. その新規ルールで、テスト「ドメインが次のいずれかである場合 (when the domain is one of the following)」を追加して、適用するドメインを選択します。 このテストをリストの上部に移動します。
  3. 一部のリファレンス・データに書き出すルールの場合は、設定を「共有データ」から「ドメイン固有」に変更します。
  4. 新規ルールが有効になっていることを確認します。
  5. ルールを保存します。
  6. 元のルールが無効になっていることを確認します。 注: コピーが作成された後に元のルールが引き続き必要になる場合は、元のルールから目的のドメインを除外する必要があります。

既知の問題

QRadar 7.4.0 フィックスパック 1 では、ルール・リミッター・ドメインを認識させる方法はありません。 複数のドメインに適用される各ルールは、複数のドメインにまたがる場合に制限が生じます。 例えば、制限時間フレーム内に同じルールをトリガーする「John Doe」が Domain1 と Domain2 の両方にある場合、ルールによってフラグが立てられるのはいずれか一方のユーザーのみです。