Machine Learning 가 있는 UEBA 대시보드

Machine Learning Analytics 가 있는 IBM® QRadar® User Entity Behavior Analytics (UEBA) 앱에는 Machine Learning 모델 상태 및 선택된 사용자에 대한 추가 세부사항이 포함되어 있습니다.

대시보드

Machine Learning 모델을 활성화한 후 사용자 엔티티 분석 탭을 클릭하여 기본 UEBA 개요(대시보드) 페이지를 엽니다.

Machine Learning 모델 상태 섹션에는 사용으로 설정한 각 모델의 수집 및 빌드 진행 상태가 표시됩니다.
  • 보라색 진행 표시줄은 모델이 데이터를 수집 중임을 표시합니다.
  • 파란색 진행 표시줄은 모델이 빌드 중임을 표시합니다.
  • 녹색 진행 표시줄은 모델이 훈련 중임을 표시합니다. 참고: 해당 모델에서 데이터를 수신하고 있지 않은 경우 충분한 데이터가 수신될 때까지 훈련 중 상태로 유지됩니다.
  • 녹색 확인 표시는 모델이 사용으로 설정되었음을 표시합니다.
  • 노란색 경고 아이콘은 모델 빌드 단계에서 문제가 발생했음을 표시합니다. Machine Learning 앱 상태가 대시보드에 경고를 표시함을 참조하십시오.
ML 설정 아이콘 구성 아이콘 을 클릭하여 Machine Learning Analytics 페이지를 열고 기계 학습 모델의 구성을 편집하십시오.
참고: 구성이 저장된 후 구성을 편집하는 경우 새 모델이 빌드되고 수집 및 모델 작성을 대기하는 시간이 재설정됩니다.
다음 이미지는 UEBA 4.0.0 라이트 테마 UI의 Machine Learning 모델 상태 위젯 예제를 표시합니다.
Machine Learning 모델 위젯의 상태

사용자 세부사항 페이지

앱의 어디서든 사용자 이름을 클릭하여 선택한 사용자에 대한 세부사항을 볼 수 있습니다.

이벤트 뷰어 분할창에서 사용자 활동에 대한 자세한 정보를 볼 수 있습니다. 이벤트 뷰어 분할창은 선택한 활동 또는 시점에 대한 정보를 표시합니다. 이벤트 뷰어 분할창에서 이벤트를 클릭하면 syslog 이벤트 및 페이로드 정보와 같은 세부사항이 표시됩니다. 이벤트 뷰어 분할창은 사용자 세부사항 페이지의 모든 원 및 선 그래프에 사용할 수 있습니다.

다음 표에서는 사용자 세부사항 페이지에서 사용 가능한 Machine Learning Analytics 그래프를 설명합니다.

표 1. 시계열 ML 그래프의 이름 및 설명
시계열 그래프 설명
  • Access activity
  • 집계된 활동
  • 인증 활동
  • 원격 네트워크에 데이터가 업로드됨
  • 데이터가 다운로드됨
  • DML 이벤트
  • DDL 이벤트
  • 대용량 HTTP 전송
  • 아웃바운드 전송 시도
  • 위험 관리 태세
  • 의심스러운 활동
  • 성공적인 액세스 및 인증 활동
참고: 모든 사용자 정의 모델은 이 그래프 유형을 사용합니다.

실제 및 예상 사용자 활동 작동 패턴을 표시합니다. 실제 값은 선택된 기간 동안 해당 사용자에 대한 이벤트 수입니다. 예상 값은 선택한 기간 동안 해당 사용자에 대해 예측된 이벤트 수입니다. 빨간색 원은 기계 학습에서 비정상 항목을 발견했으며 감지 이벤트가 생성되었음을 표시합니다.

시계열 그래프에서는 다음을 수행할 수 있습니다.
  • 노드를 클릭하여 이벤트의 조회 목록을 가져옵니다.
  • 캘린더 아이콘을 클릭하여 시간 및 날짜를 지정하십시오.
다음 이미지는 UEBA 4.0.0 라이트 테마 UI의 시계열 그래프 예제를 표시합니다.
위험 상태 그래프
표 2. ML 분포 그래프의 이름 및 설명
분포 그래프 설명
활동 분포

기계 학습에서 모니터하는 모든 사용자에 대한 동적 작동 클러스터를 표시합니다. 클러스터는 기계 학습에서 모니터하는 모든 사용자의 활동 카테고리별로 유추합니다. 실제 값은 해당 클러스터에 대한 백분율 일치입니다. 예상 값은 해당 클러스터에 대해 예측된 백분율 일치입니다. 그래프의 각 색상은 기계 학습에서 모니터하는 모든 사용자에 대해 고유한 동적 작동 클러스터를 표시합니다. 특정 그룹을 나타내는 데 사용되는 색상은 모든 사용자에게 동일합니다. 빨간색 세로선은 기계 학습에서 비정상 항목을 발견했으며 감지 이벤트가 생성되었음을 표시합니다.

그래프에서는 다음을 수행할 수 있습니다.
  • 각 클러스터 위로 커서를 이동하여 실제 및 예측된 활동 백분위수와 상위 3개의 기여 카테고리를 확인합니다.
  • 캘린더 아이콘을 클릭하여 날짜 범위를 지정합니다.
다음 이미지는 UEBA 4.0.0 라이트 테마 UI의 활동 분포 그래프 예제를 표시합니다.
활동 분포 그래프
표 3. 피어 그룹 ML 그래프의 이름 및 설명
피어 그룹 그래프 설명
  • 정의된 피어 그룹
  • 학습된 피어 그룹

사용자의 이벤트 활동이 해당 피어 그룹의 이벤트 활동에서 벗어나는 정도를 표시합니다. 빨간색 원은 기계 학습에서 비정상 항목을 발견했으며 감지 이벤트가 생성되었음을 표시합니다. 정의된 그룹은 모델 설정에서 선택된 LDAP 그룹입니다. 발견된 작동은 해당 날짜에 사용자 동작과 유사한 그룹입니다. 피어 그룹에서의 편차는 사용자가 정의된 피어 그룹에서 벗어나는 백분율을 나타냅니다. 신뢰도는 정확히 예측할 수 있도록 그룹의 사용자로부터 모델을 빌드하기 위해 수집된 데이터 양에 따라 달라집니다. 편차 및 신뢰도 모두 임계값을 초과하면 경보가 트리거됩니다.

피어 그룹 분석을 보려면 최소 요구사항을 충족하는 사용자 그룹화 특성을 수집하도록 사용자 가져오기를 구성해야 합니다. 구성 페이지에서 모델링할 그룹을 나타내는 그룹화 특성을 선택하십시오. 사용자 정의 그룹 구성에 대한 세부사항은 사용자 가져오기 구성 조정 을 참조하십시오.

그래프에서는 다음을 수행할 수 있습니다.
  • 데이터 점을 클릭하여 "사용자 피어 그룹" 테이블에서 피어를 확인합니다.
  • 캘린더 아이콘을 클릭하여 날짜 범위를 지정합니다.
"사용자 피어 그룹" 테이블의 피어는 현재 사용자 그룹에서 가장 위험한 사용자를 표시합니다. 다음을 수행할 수 있습니다.
  • 사용자 이름을 클릭하여 사용자 세부사항 페이지를 엽니다.
  • 드롭 다운 목록을 클릭하여 표시할 사용자 속성을 선택합니다.
  • 사용자 이름을 필터링할 검색을 수행합니다.
다음 이미지는 UEBA 4.0.0 라이트 테마 UI에서 사용자 정의 그룹화가 있는 정의된 피어 그룹 그래프의 예제를 표시합니다.
정의된 피어 그룹 그래프
다음 Machine Learning 사용자 모델은 그래프로 표시되지 않습니다.
  • Lateral Movement: Internal Destination Port Activity
  • Lateral Movement: Network Zone Access
  • Lateral Movement: Internal Asset Usage
  • Process Usage