UEBA : 複数のファイルアップロードがブロックされ、その後にアップロードが成功する

QRadar® User Entity Behavior Analytics (UEBA) アプリケーションは、特定の動作異常のルールに基づいてユース・ケースをサポートします。

UEBA : 複数のファイルアップロードがブロックされ、その後にアップロードが成功する

デフォルトで有効

いいえ

デフォルトの senseValue

10

デフォルト senseValueSource

10

デフォルト senseValueDestination

10

説明

大量のファイル・アップロード・ブロック後に成功したアップロードがあるときに検出します。

サポート・ルール

  • BB:UBA : ファイル・アップロードの成功 (BB:UBA : Successful File Upload)
  • BB:UBA : 複数のファイル・アップロードのブロック (BB:UBA : Multiple Blocked File Uploads)
  • BB:UBA : 共通ログ・ソース・フィルター (BB:UBA : Common Log Source Filters)
注: 両方のビルディング・ブロックのイベントは、ポート 443、80、および 21 を超えています。

必須の構成

管理者設定 ]→[ UBA設定] で、ユーザー名がイベントまたはフローデータで利用できない場合に、ユーザー名でアセットを検索する機能を有効にします。

ログ・ソース・タイプ

ファイル・アップロードのブロック: イベント・カテゴリー: (Access.FTP アクションの拒否、Access.Firewall セッションのクローズ、Access.Access の拒否)

ファイル・アップロードの成功: イベント・カテゴリー: (Access.FTP アクションの許可、Access.Firewall セッションのオープン、Access.Access の許可)