User Behavior Analytics ルールの調査

User Behavior Analytics ルールは、ネットワーク内の潜在的な内部の脅威を識別する上で役立ちます。 IBM® QRadar® User Behavior Analytics 4.1.0 以降のユーザー分析ルールが IBM QRadar Use Case Manager 3.2.0 以降に統合された後、組織のニーズに合わせてそれらを管理および調整することができます。 そうすると、そのデータが QRadar User Behavior Analytics ダッシュボードに自動的に表示されるため、ネットワークに対するリスクを視覚化することができます。

1. 「ユース・ケース・エクスプローラー」 ページで、リスト・アイコンをクリックし、使用する以下のいずれかのテンプレートを選択します。

   すべての User Behavior Analytics ルール

   インストールされているかインストールされていないかにかかわらず、すべての User Behavior Analytics ルールを対象としてリスク・スコアを表示します。

   インストール済みの User Behavior Analytics ルール

   インストール済みの User Behavior Analytics ルールを対象としてリスク・スコアを表示します。

   ヒント: QRadar User Behavior Analyticsの 「ルールおよびチューニング」 ページに類似したフィルターを使用するには、このテンプレートを選択します。 カテゴリー情報を表示するには、「内容のカテゴリー」列を追加します。 QRadar Use Case Manager には、強制終了チェーン情報は含まれていません。

   インストールされていない User Behavior Analytics ルール

   インストールされていないコンテンツ拡張を対象として、このテンプレートには、拡張がインストールされた場合に使用可能になる User Behavior Analytics ルールが表示されます。

2. 事前定義された QRadar User Behavior Analytics ルールのリスク・スコアを変更するには、ルールの名前をクリックし、 「User Behavior Analytics リスク・スコア」 セクションを展開して、数値を調整します。 QRadar User Behavior Analytics のユーザー・リスク・スコアが自動的に更新されます。
   リスク・スコアは、 QRadar User Behavior Analytics ルールによって検出されたすべてのリスク・イベントの合計です。 リスク・スコアが大きいほど内部ユーザーがセキュリティー上のリスクとなる可能性が高く、ユーザーのネットワーク・アクティビティーをさらに審査する必要があります。 新しいイベントが発生しない場合、リスク・スコアは時間の経過につれて減少します。 QRadar User Behavior Analytics アプリケーションから統合されたルールは、通常、5 から 25 の範囲のリスク・スコアを持ちます。 現在のテンプレートに「ルールの属性: User Behavior Analytics リスク (Rule attributes: User Behavior Analytics risk)」列を追加することにより、任意のレポートでリスク・スコアを表示できます。 詳しくは、「 アプリケーション設定の構成」を参照してください。
3. リスク・スコアをルールに追加して QRadar User Behavior Analyticsに関連付けるには、以下の手順を実行します。
   1. ルール・ウィザードで選択したルールを開き、 「User Behavior Analytics リスク・スコア」 セクションを展開します。
   2. 「ルール応答 (Rule response)」 セクションで 「新規イベントのディスパッチ (Dispatch New Event)」 オプションが選択されていない場合は、 「ルール・ウィザードで編集 (Edit in rule wizard)」 をクリックして、ここでそのステップを完了します。
   3. ルールにリスク・スコアを割り当てます。
   QRadar User Behavior Analytics アプリケーションは、ルールが生成するすべてのイベントを追跡し、その分析でリスク・スコアを考慮します。
4. ルールを QRadar User Behavior Analyticsに関連付ける必要がなくなった場合は、以下の手順を実行します。
   1. ルール・ウィザードで選択したルールを開き、 「User Behavior Analytics リスク・スコア」 セクションを展開します。
   2. ツールチップの指示に従って、 QRadar User Behavior Analyticsからルールを切断します。
   QRadar User Behavior Analyticsのリファレンス・テーブルからルールへの参照を削除すると、そのルールによってトリガーされたすべてのイベントがユーザーのリスク・スコアに寄与しなくなります。