Machine Learning 사용자 모델

Machine Learning Analytics 앱에서 정보를 보려면 사용자 모델에 대한 Machine Learning 설정을 구성해야 합니다.

1. 탐색 메뉴 ( ) 에서 관리를 클릭하십시오.
2. 앱 > 사용자 엔터티 분석 > Machine Learning 설정을 클릭합니다.
3. Machine Learning 설정 페이지에서 사용 을 클릭하여 선택한 모델을 켜십시오.
4. 기본 설정을 편집하려는 경우 모델 이름을 클릭하십시오.
5. 감지 이벤트의 위험 값 필드에 감지 이벤트가 트리거될 때 사용자의 위험 점수를 증가시킬 양을 입력하십시오. 기본값은 5입니다.
6. 위험 값의 크기를 조정하려면 전환을 사용으로 설정하십시오. 사용으로 설정되면 기본 위험 값에 인수(1 - 10 범위)가 곱해집니다. 이 인수는 단순히 사용자가 예상 작동에서 벗어난 사실이 아니라 사용자가 예상 작동에서 벗어난 정도에 의해 판별됩니다.
7. 이상 항목을 트리거하기 위한 신뢰구간 필드에 이상 항목 이벤트를 트리거하기 전에 기계 학습 알고리즘의 신뢰도에 대한 백분율을 입력하십시오. 기본값은 0.95입니다.
8. 데이터 보존 기간 필드에서 모델 데이터를 저장할 일 수를 설정하십시오. 기본값은 30입니다.
9. 사용자 세부사항 페이지에 그래프 표시 토글은 기본적으로 사용자 세부사항 페이지에 선택된 그래프를 표시하도록 사용으로 설정됩니다. 사용자 세부사항 페이지에 그래프를 표시하지 않으려는 경우 전환을 클릭하십시오.
10. 피어 그룹 및 활동 분배 모델의 경우 그룹별 필드에서 선택한 피어 그룹 분석에 사용할 그룹을 선택하십시오.
11. 선택사항: AQL 검색 필터 필드에서 AQL 필터를 추가하여 분석이 QRadar에서 조회하는 데이터의 범위를 좁힐 수 있습니다. AQL 조회를 사용하여 필터링하면 분석 대상인 사용자 수나 분석 유형을 줄일 수 있습니다. 구성을 저장하기 전에 조회를 검토하고 결과를 확인할 수 있도록 조회 유효성 검증을 클릭하여 QRadar에서 전체 AQL 조회를 실행하십시오.
    중요: AQL 필터를 수정하면 기존 모델이 올바르지 않음으로 표시된 후 다시 빌드됩니다. 다시 빌드하는 데 걸리는 시간은 수정된 필터에 의해 리턴되는 데이터 양에 따라 다릅니다.
    특정 로그 소스, 네트워크 이름 또는 특정 사용자가 포함된 참조 세트를 필터링할 수 있습니다. 다음 예제를 참조하십시오.

    • REFERENCESETCONTAINS('Important People', username)
    • LOGSOURCETYPENAME(devicetype) in ('Linux OS', 'Blue Coat SG Appliance', 'Microsoft Windows Security Event Log')
    • INCIDR('172.16.0.0/12', sourceip) or INCIDR('10.0.0.0/8', sourceip) or INCIDR('192.168.0.0/16', sourceip)
    자세한 정보는 Ariel Query Language를 참조하십시오.
12. 저장을 클릭하십시오.