기계 학습 분석 요구사항

기계 학습 모델은 다양한 분석 요구사항을 기반으로 훈련하고 빌드하는 데 시간이 걸릴 수 있습니다.

Machine Learning Analytics

  • 피어 그룹 분석: 이 분석은 유사한 활동에 참여하는 사용자를 식별하고 모델은 이를 피어 그룹에 배치합니다. 그런 다음 피어 그룹에서 사용자의 편차를 기반으로 경보가 생성됩니다.

    피어 그룹 모델에는 훈련 단계가 없습니다. 사용자 데이터의 30일을 다시 수집하기 때문에 모델 작성 단계와 스코어링 단계만 있습니다.

  • HOUR_TO_WINDOW Analytics: 모델은 누적되므로 각 시간은 자체 모델을 갖는 것과 반대로 각 사용자의 모델에 대해 전체적으로 평가됩니다.

    이 유형의 모델을 훈련하는 시간은 실제 시간으로 작성됩니다. 예를 들어, 필요한 240시간의 데이터는 10일또는 240시간의 실제 시간이 경과해야 함을 의미합니다.

  • HOUR_TO_HOUR 분석: 이러한 분석은 각 시간 동안 각 사용자에 대한 모델을 빌드합니다. 예를 들어, 1 PM-2 PM 모델, 2 PM-3 PM 모델 등이 있습니다.

    훈련에 필요한 시간은 각 모델에 대해 시간으로 작성됩니다. 예를 들어, 필요한 10시간의 데이터는 10일또는 240시간의 실제 시간이 경과해야 함을 의미합니다.

분석 용어
  • minTimeSpan: : 훈련과 구축을 위해 필요한 최소 시간입니다.
  • ticketMinSampleCounts: : 이것은 경보를 생성하는 데 필요한 최소 시간 수이기 때문에 minTimeSpan 과 다릅니다. 피어 그룹 분석에는 이 매개변수가 없습니다.
  • 역할 수: 최소 역할 수 및 최대 역할 수는 모델이 사용자를 세그먼트화할 하위 레벨 카테고리의 클러스터 수를 판별하기 위해 해당 범위에 있는 각각의 모든 수에 대해 테스트하는 범위입니다. 모델은 범위 내의 각 클러스터 수를 평가하고 최적의 토픽 수를 판별합니다.

피어 그룹 분석

다음 모델은 피어 그룹 분석을 사용합니다.

  • Activity Distribution
  • Defined Peer Group
  • Internal Asset Access by Peer Group
  • 피어 그룹별 내부 대상 포트
  • 피어 그룹별 내부 네트워크 구역
  • Learned Peer Group
  • Process Execution by Peer Group
다음은 작성할 피어 그룹 모델의 매개변수입니다.
  • 분석 유형: 피어 그룹
  • 최소 역할 수: 2
  • 최대 역할 수: 13
    주: 학습된 피어 그룹, 정의된 피어 그룹 및 활동 분배는 모두 최대 20개입니다.
  • 최소 그룹 수: 5
  • 최대 그룹 수: 10
    주: 학습된 피어 그룹은 최대 20개의 학습된 피어 그룹입니다.
  • 최소 이벤트 수: 10
  • 빌드할 최소 데이터 양 (최소 시간 범위): 7일
  • 빌드할 현재 데이터 세트 양 (시간 범위): 30일

HOUR_TO_WINDOW 분석

다음 모델은 HOUR_TO_WINDOW 분석을 사용합니다.
  • DDL 이벤트
  • DML 이벤트
  • 인바운드 데이터 전송
  • 내부 자산 액세스
  • 내부 대상 포트
  • 내부 네트워크 영역
  • 대형 HTTP 전송
  • Outbound Transfer Attempts
  • 아웃바운드 전송 시도 (볼륨별)
  • Process Usage
  • Risk Posture
  • Successful Access and Authentication Activity

다음은 빌드할 HOUR_TO_WINDOW 모델의 매개변수입니다.

  • 분석 유형: HOUR_TO_WINDOW
  • 빌드할 최소 데이터 양 (최소 시간 범위): 240시간
  • 알림을 생성하는 데 필요한 최소 데이터 양 ticketMinSampleCounts ): 240시간
  • 빌드할 현재 설정된 데이터 양 (시간 범위): 240시간
  • SenseValue: 5

HOUR_TO_HOUR 분석

다음 모델은 HOUR_TO_HOUR 분석을 사용합니다.
  • Aggregated Activity
  • 액세스 활동
  • Authentication Activity
  • Suspicious Activity
다음은 빌드할 HOUR_TO_HOUR 모델의 매개변수입니다.
  • 분석 유형: HOUR_TO_HOUR
  • 빌드할 최소 데이터 양 (최소 시간 범위): 240시간
  • 빌드할 현재 설정된 데이터 양 (시간 범위): 240시간
  • 알림을 생성하기 위한 최소 데이터 양 ticketMinSampleCounts ): 10시간(실제 10일)