UEBA : 기업 방화벽의 원격 액세스 구멍

QRadar® User Entity Behavior Analytics (UEBA) 앱은 특정 동작 이상 항목에 대한 규칙을 기반으로 하는 유스 케이스를 지원합니다.

UEBA : 기업 방화벽의 원격 액세스 구멍

기본적으로 사용 가능

False

senseVaule 기본값

10

기본값 senseValueSource

10

설명

GotoMyPC 및 OpenVPN 애플리케이션에서 작성한 방화벽에 원격 액세스 구멍이 있을 때 이를 발견합니다.

지원 룰

  • BB:UBA : GoToMyPC and OpenVPN ports
  • BB:UBA : Gotomypc Process Creation and Openvpn File Creation
  • BB:UBA : Common Log Source Filters

필수 구성

사용자 정의 특성 Filename 및 Process Commandline이 정의되었는지 확인하십시오.
참고: 프로세스 명령행 일치: g2tray\.exe 또는 파일 이름이 포트 8200, 1194또는 943에서. *\. (ovpn) 과 일치합니다.

관리자 설정 > UBA 설정에서 이벤트 또는 플로우 데이터에 사용자 이름을 사용할 수 없는 경우 사용자 이름에 대한 자산 검색을 사용 설정합니다.

로그 소스 유형

Microsoft Windows Security Event Logon