カスタム・モデルの作成

カスタム・モデルを作成して、特定のユーザーの 1 時間ごとの数値特性を測定してベースラインを設定します。

1. ナビゲーション・メニュー ( ) で、 「管理」をクリックします。
2. アプリ > ユーザー エンティティ分析 > Machine Learning 設定をクリックします。
3. Machine Learning 「設定」 ページで、 「モデルの作成」をクリックします。
4. 「モデル定義」 タブで、テンプレートを選択して AQL フィールドにデータを取り込むことも、カスタム AQL 照会を作成することもできます。
5. 「次へ」をクリックします。
   
6. 「一般設定」 タブで、名前と説明を入力します。
7. 「センス・イベントのリスク値」 フィールドに、センス・イベントがトリガーされたときにユーザーのリスク・スコアを上げる量を入力します。 デフォルト値は 5 です。
8. トグルを有効にしてリスク値をスケーリングします。 有効にすると、基本リスク値が係数 (1 ～ 10 の範囲) で乗算されます。 この係数は、ユーザーが期待される行動から逸脱しているというだけでなく、どれだけ逸脱しているかによって決まります。
9. 「異常をトリガーする信頼区間 (Confidence interval to trigger anomaly)」 フィールドに、異常イベントをトリガーするまでの機械学習アルゴリズムの信頼性のパーセンテージを入力します。 デフォルト値は 0.95 です。
10. 「データ保存期間」 フィールドで、モデル・データを保存する日数を設定します。 デフォルト値は 30 です。
11. 「ユーザーの詳細ページにグラフを表示」 トグルは、デフォルトでは無効になっています。 「ユーザーの詳細」ページにカスタム・モデル・グラフを表示する場合は、トグルをクリックしてください。
12. オプション: 「AQL 検索フィルター」 フィールドに AQL フィルターを追加して、 QRadarで分析が照会するデータを絞り込むことができます。 AQL 照会を使用してフィルタリングを行うことによって、分析するユーザーの数またはデータ・タイプを削減できます。 設定を保存する前に、「照会の妥当性検査」をクリックして QRadar で AQL 照会全体を起動することで、照会を確認して結果を検証できます。
    重要: AQL フィルターを変更すると、既存のモデルに無効のマークが付けられ、再作成されます。 再作成に必要な時間の長さは、変更されたフィルターによって返されるデータの量によって異なります。
    特定のログ・ソース、ネットワーク名、または特定のユーザーを含むリファレンス・セットにフィルターを適用できます。 次の例を参照してください。

    • REFERENCESETCONTAINS('Important People', username)
    • LOGSOURCETYPENAME(devicetype) in ('Linux OS', 'Blue Coat SG Appliance', 'Microsoft Windows Security Event Log')
    • INCIDR('172.16.0.0/12', sourceip) or INCIDR('10.0.0.0/8', sourceip) or INCIDR('192.168.0.0/16', sourceip)
    詳しくは、 Ariel 照会言語を参照してください。
13. 「保存」をクリックします。