ユーザーベースのメンバー、エンティティベースのメンバー、およびユーザーとエンティティの両方のメンバーシップを組み合わせたハイブリッド監視リストを含む監視リストを追加および構成できます。
このタスクについて
メインのUEBA概要（ダッシュボード）ページ、 ユーザーまたはエンティティの詳細ページ、 検索結果ページから、新しいウォッチリストまたは既存のウォッチリストにユーザー、エンティティ、ハイブリッドを追加できます。 単一のユーザーまたはエンティティは、複数の監視リストのメンバーになることができます。 ユーザーがユーザーウォッチリストを作成した場合、そのリストにはユーザーのみが含まれます。 エンティティ監視リストが作成された場合、そのリストにはエンティティのみを追加できます。 ハイブリッドウォッチリストには、ユーザーとエンティティの両方を追加できます。
手順
- UEBA のメインの「概要 (ダッシュボード)」ページまたは 「ユーザーの詳細」 ページで、 「ウォッチリスト」 アイコンをクリックします。
- メニューから、 「新規ウォッチ・リストの作成」を選択します。 既存の監視リストにユーザーを追加するには、「追加先」をクリックして監視リストを指定します。
- 「一般設定」 タブで、監視リスト名を入力します。
ウォッチリストのオプションから1つ選択してください：
- ユーザー - ユーザー用のウォッチリストを作成するには、このオプションを選択してください。
- エンティティ - エンティティのウォッチリストを作成するには、このオプションを選択してください。
- ハイブリッド - ユーザーとエンティティの両方に対する統合ウォッチリストを作成するには、このオプションを選択してください。
- ユーザーのリスクスコアを設定するには、 [ユーザースケールリスク係数 ]フィールドの値を変更します。 デフォルトの係数「1」を選択した場合、リスクスコアは変更されません。
- エンティティのリスクスコアを設定するには、 [エンティティ スケール リスク バイ ファクター] フィールドの値を変更します。 デフォルトの係数「1」を選択した場合、リスクスコアは変更されません。
- Machine Learning 「トラッキング優先順位」 セクションで、 Machine Learning 分析によるユーザーの追跡方法の優先順位を選択します。
- 高-ユーザーは常に、「 Machine
Learning 」分析ごとの最大ユーザー数まで追跡されます。
- 「標準」 - ユーザーは、すべての上位ユーザーが追加された後に、最も高いリスクによって追跡されます。
- Never-ユーザーは Machine
Learningによって追跡されません。
- ウォッチリストのメンバーシップ更新頻度を制御するため、更新間隔 （時間単位）を設定してください。 値がゼロの場合、無効化または手動更新のみを意味します。
注記： ハイブリッドウォッチリストには、ユーザーとエンティティを同時に含めることができます。
- ユーザー メンバーシップ設定タブで、メンバーの判定方法を設定します：
- オプション: 「 QRadar® リファレンス・セットからインポート」 フィールドで、リファレンス・セットを検索するか、リストからリファレンス・セットをクリックして選択し、リファレンス・セットからすべてのエントリーをインポートします。 リファレンス・セットを選択したら、リンクをクリックして確認します。
注： このリストにはユーザー名を持たない参照セットが含まれている可能性があります。
- オプション: 「 監視対象ユーザーから正規表現フィルターで追加 」フィールドでは、ユーザープロパティを選択し、有効な POSIX 正規表現を入力することで、UEBAデータベースに既に存在するユーザーを選択できます。 各正規表現フィルターの横には一致したユーザー数が表示され、管理者がフィルターの適用範囲をリアルタイムで確認できるよう支援します。
- エンティティのメンバーシップ設定タブで、メンバーの判定方法を設定します：
- オプション: 「 QRadar リファレンス・セットからインポート」 フィールドで、リファレンス・セットを検索するか、リストからリファレンス・セットをクリックして選択し、リファレンス・セットからすべてのエントリーをインポートします。 リファレンス・セットを選択したら、リンクをクリックして確認します。
注： このリストにはユーザー名を持たない参照セットが含まれている可能性があります。
- オプション: 「正規表現フィルター付き監視ユーザーから追加」 フィールドでは、エンティティプロパティに対する正規表現を選択できます（例: IPアドレス、ホスト名、関連付けられたユーザー）を動的にウォッチリストに追加します。 各正規表現フィルターの横には一致したユーザー数が表示され、管理者がフィルターの適用範囲をリアルタイムで確認できるよう支援します。 IPアドレス （CIDR範囲）を選択した場合、システム内で既に利用可能なCIDR範囲のリストから選択できます。 これらの事前定義されたIP範囲は必要に応じて選択できます。
- メンバーシップ設定を構成したら、 [保存] をクリックしてください。
- 監視リストに追加されたエンティティを確認するには、UEBAダッシュボードに移動してください。 ウォッチリスト設定で設定された更新間隔に基づいて自動的に更新される、表示されているエンティティを確認してください。
注： UEBAダッシュボードには、限られた数のエンティティのみが表示されます。
- ウォッチリストに関連付けられているすべてのエンティティを表示するには、ダッシュボードの 「すべてのエンティティを表示」 をクリックしてください。 システムはウォッチリストページに移動し、そこでエンティティの完全なリストが表示されます。
