QRadar User Entity Behavior Analytics

IBM® QRadar® User Entity Behavior Analytics アプリは、ネットワーク内のユーザーとエンティティのリスクプロファイルを決定し、アプリが脅威的な行動を警告したときに行動を起こすのに役立ちます。

QRadar User Entity Behavior Analytics (UEBA) アプリケーションは、組織内の内部関係者の脅威を検出するためのツールです。 アプリのフレームワークの上に構築され、 QRadar の既存のデータを使用して、ユーザーとエンティティのリスクに関する新しい洞察を生成します。 UEBA QRadarユーザーとエンティティのリスク、そして統一されたユーザーIDである。

リスク・プロファイル作成を行うには、リスクをさまざまなセキュリティー・ユース・ケースに割り当てます。 例えば、不正な Web サイトなどに関する単純なルールおよびチェックや、機械学習を利用するより高度なステートフル分析などがあります。 リスクは、検出されたインシデントの重大度と信頼性に応じてそれぞれのユース・ケースに割り当てられます。 UEBA は、 QRadar システム内の既存のイベント・データおよびフロー・データを使用して、これらの洞察を生成し、ユーザーのリスクのプロファイルを作成します。

ユーザー・アイデンティティーの統一は、QRadar 内の 1 ユーザーに対する複数の異なるアカウントを結合することで実現します。 Active Directory、LDAP サーバー、リファレンス・テーブル、または CSV ファイルからデータをインポートすることで、ユーザー ID に属するアカウントを UEBA に認識させることができます。 これにより、 UEBAでさまざまなユーザー名のリスクとトラフィックを組み合わせることができます。

Machine Learning (ML app) は、 UEBA アプリケーションを拡張するアドオン・ツールです。 これを利用すると、時系列のプロファイル作成とクラスター化を実現する、より高度かつ詳細なユース・ケースが得られます。 これは、 UEBA アプリケーション内の Machine Learning 設定ページにインストールされます。 ML app は、学習動作 (モデル)、現在の動作、およびアラートを示す視覚化を既存の UEBA アプリケーションに追加します。 QRadar 内の 4 週間より長い期間の履歴データを使用してユーザーの予測モデルを作成でき、さらにそのユーザーにとって何が通常どおりであるかを示すベースラインも作成できます。

ML appの使用について詳しくは、 Machine Learning Analytics アプリを参照してください。