사용자 기반 멤버, 엔터티 기반 멤버, 그리고 사용자 및 엔터티 멤버십을 결합한 하이브리드 감시 목록을 포함하는 감시 목록을 추가하고 구성할 수 있습니다.
이 태스크에 대한 정보
사용자, 엔터티 및 하이브리드를 새 감시 목록이나 기존 감시 목록에 추가할 수 있습니다. 추가 작업은 메인 UEBA 개요(대시보드) 페이지, 사용자 또는 엔터티 세부 정보 페이지, 검색 결과 페이지에서 수행할 수 있습니다. 단일 사용자 또는 단체는 여러 감시 목록의 구성원이 될 수 있습니다. 사용자가 사용자 감시 목록을 생성하면, 해당 목록에는 사용자만 포함됩니다. 엔티티 감시 목록이 생성된 경우, 해당 목록에는 엔티티만 추가할 수 있습니다. 하이브리드 감시 목록에는 사용자와 엔티티를 모두 추가할 수 있습니다.
프로시저
- 기본 UEBA 개요 (대시보드) 페이지 또는 사용자 세부사항 페이지에서 관심 목록 아이콘을 클릭하십시오.
- 메뉴에서 새 감시 목록 작성을 선택하십시오. 기존 관심 목록에 사용자를 추가하려면 관심 목록에 추가를 클릭하십시오.
- 일반 설정 탭에서 감시 목록 이름을 입력하십시오.
관심 목록 옵션 중 하나를 선택하세요:
- 사용자 - 사용자를 위한 관심 목록을 생성하려면 이 옵션을 선택하십시오.
- 엔티티 - 엔티티에 대한 감시 목록을 생성하려면 이 옵션을 선택하십시오.
- 하이브리드 - 사용자 및 엔티티 모두를 위한 통합 감시 목록을 생성하려면 이 옵션을 선택하십시오.
- 사용자 위험 점수를 설정하려면 '사용자 위험 점수 조정 계수' 필드의 값을 변경하십시오. 기본 요소 '1'을 선택하면 위험 점수는 변경되지 않습니다.
- 엔티티의 위험 점수를 설정하려면 '엔티티 위험 점수 조정 계수' 필드의 값을 변경하십시오. 기본 요소 '1'을 선택하면 위험 점수는 변경되지 않습니다.
- Machine Learning 추적 우선순위 섹션에서 Machine Learning 분석을 통해 사용자를 추적하는 방법에 대한 우선순위를 선택하십시오.
- 높음 - 사용자는 항상 Machine
Learning 분석당 최대 사용자 수까지 추적됩니다.
- 보통 - 우선순위가 높음인 모든 사용자가 포함된 이후 가장 높은 위험에 의해 사용자가 추적됩니다.
- Never-사용자가 Machine
Learning에 의해 추적되지 않습니다.
- 리프레시 간격 (시간)을 설정하여 감시 목록 멤버십 업데이트 빈도를 제어하십시오. 값이 0이면 비활성화 또는 수동 새로고침만 가능함을 의미합니다.
참고: 하이브리드 감시 목록은 사용자와 개체를 동시에 포함할 수 있습니다.
- 사용자 멤버십 설정 탭에서 멤버 결정 방식을 구성합니다:
- 선택사항: 다음에서 가져오기 QRadar® 참조 세트 필드에서 참조 세트를 검색하거나 클릭하여 목록에서 참조 세트를 선택하여 참조 세트에서 모든 항목을 가져오십시오. 참조 세트를 선택한 후 검토할 링크를 클릭하십시오.
참고: 이 목록에는 사용자 이름이 없는 참조 세트가 포함될 수 있습니다.
- 선택 사항: 필드에서 모니터링 대상 사용자 중 정규식 필터 적용 후 추가 사용자 속성을 선택하고 유효한 POSIX 정규식을 입력하여 UEBA 데이터베이스에 이미 존재하는 사용자를 선택할 수 있습니다. 각 정규식 필터 옆에는 일치하는 사용자 수가 표시되어 관리자가 필터의 적용 범위를 실시간으로 확인할 수 있도록 합니다.
- 엔터티 멤버십 설정 탭에서 멤버 결정 방식을 구성합니다:
- 선택사항: 다음에서 가져오기 QRadar 참조 세트 필드에서 참조 세트를 검색하거나 클릭하여 목록에서 참조 세트를 선택하여 참조 세트에서 모든 항목을 가져오십시오. 참조 세트를 선택한 후 검토할 링크를 클릭하십시오.
참고: 이 목록에는 사용자 이름이 없는 참조 세트가 포함될 수 있습니다.
- 선택 사항: 필드에서 모니터링 대상 사용자 중 정규식 필터 적용 후 추가 엔터티 속성에 대해 정규 표현식을 선택할 수 있습니다(예: Forex). IP 주소, 호스트명, 연결된 사용자)를 동적으로 감시 목록에 채우기 위해. 각 정규식 필터 옆에는 일치하는 사용자 수가 표시되어 관리자가 필터의 적용 범위를 실시간으로 확인할 수 있도록 합니다. IP 주소 (CIDR 범위)를 선택하면 시스템 내에서 이미 사용 가능한 CIDR 범위 목록에서 선택할 수 있습니다. 이 사전 정의된 IP 범위는 필요에 따라 선택할 수 있습니다.
- 회원 설정 구성 후 저장을 클릭하십시오.
- UEBA 대시보드로 이동하여 감시 목록에 추가된 엔터티를 확인하십시오. 감시 목록 설정에서 구성된 새로 고침 간격에 따라 자동으로 새로 고쳐지는 표시된 엔티티를 검토하십시오.
참고: UEBA 대시보드에는 제한된 수의 엔터티만 표시됩니다.
- 감시 목록과 관련된 모든 개체를 보려면 대시보드에서 '모든 개체 보기'를 클릭하세요. 시스템은 감시 목록 페이지로 이동하며, 해당 페이지에는 전체 엔터티 목록이 표시됩니다.
