Painel do UEBA com Machine Learning

O aplicativo IBM® QRadar® User Entity Behavior Analytics (UEBA) com Machine Learning Analytics inclui o status do modelo Machine Learning e detalhes adicionais para o usuário selecionado.

Painel

Depois de ativar os modelos Machine Learning , clique na guia User Entity Analytics para abrir a página principal UEBA Overview (Dashboard).

A seção Status de Modelos do Machine Learning mostra a ingestão e o progresso da construção para cada modelo ativado.

A barra de progresso roxa indica que o modelo está ingerindo dados.
A barra de progresso azul indica que o modelo está sendo construído.
A barra de progresso verde indica que o modelo está sendo treinado. Nota: se o modelo não estiver recebendo dados, ele permanecerá em treinamento até que dados suficientes sejam recebidos.
O visto verde indica que o modelo está ativado.
O ícone de aviso amarelo indica que um problema foi encontrado durante a fase de construção de modelo. Consulte O status do appMachine Learning mostra aviso no painel.

Clique no Configurações do ML: ícone Ícone Configuração

para abrir a página Machine Learning Analytics e editar a configuração dos modelos de aprendizado de máquina.

Nota: se você editar a configuração após ela ter sido salva, um novo modelo será construído e o tempo de espera para a ingestão e construção de modelo será reconfigurado.

A imagem a seguir mostra um exemplo de um widget de status de modelos do Machine Learning na UI do tema leve UEBA 4.0.0 .

Status do widget de modelos do Machine Learning

Página de detalhes do usuário

É possível clicar em um nome do usuário em qualquer lugar no aplicativo para ver detalhes para o usuário selecionado.

É possível aprender mais sobre as atividades do usuário com a área de janela do visualizador de eventos. A área de janela do visualizador de eventos mostra informações sobre uma atividade ou um momento selecionado. Clicar em um evento na área de janela visualizador de eventos revela mais detalhes, como eventos de syslog e informações de carga útil. A área de janela do visualizador de eventos está disponível para todos os gráficos de rosca e de linha na página Detalhes do Usuário.

As tabelas a seguir descrevem os gráficos Machine Learning Analytics disponíveis na página Detalhes do usuário .

Tabela 1. Nomes e descrições de séries temporais ML gráficos
Gráficos de séries temporais	Descrição
Atividade de acesso Atividade agregada Atividade de autenticação Dados transferidos por upload para redes remotas Dados transferidos por download eventos DML Eventos de DDL Grandes transferências de HTTP Tentativas de transferência de saída Variação de risco Atividade Suspeita Atividade de acesso e de autenticação bem-sucedida	Nota: todos os modelos customizados usam esse tipo de gráfico Mostra padrões de comportamento de atividade do usuário reais e esperados. Os valores reais são o número de eventos para esse usuário durante o período selecionado. Os valores esperados são o número previsto de eventos para esse usuário durante o período de tempo selecionado. Um círculo vermelho indica que uma anomalia foi detectada e um evento de verificação foi gerado por aprendizado de máquina. No gráfico de séries temporais, é possível: Clique em um nó e obtenha uma listagem de consulta dos eventos. Clicar no ícone Calendário para especificar uma hora e uma data. A imagem a seguir mostra um exemplo de um gráfico de série temporal na UI do tema leve UEBA 4.0.0 .

Tabela 2. Nome e descrição de ML gráfico de distribuição
Gráfico de distribuição	Descrição
Distribuição de atividade	Mostra clusters de comportamento dinâmico para todos os usuários que são monitorados por aprendizado de máquina. Os clusters são inferidos pelas categorias de atividade para todos os usuários que são monitorados pelo aprendizado de máquina. Os valores reais são a correspondência de percentual para esse cluster. Os valores esperados são a correspondência de percentual predito para esse cluster. Cada cor no gráfico representa um cluster de comportamento dinâmico exclusivo para todos os usuários monitorados pelo aprendizado de máquina. Uma cor usada para denotar um grupo específico é a mesma para todos os usuários. Uma linha vertical vermelha indica que uma anomalia foi detectada e um evento de verificação foi gerado pelo aprendizado de máquina. No gráfico, é possível: Passe o mouse sobre cada cluster para visualizar os percentis de atividade reais e previstos e as 3 principais categorias contribuintes. Clique no ícone Calendário para especificar um intervalo de data. A imagem a seguir mostra um exemplo de um gráfico de distribuição de atividade na IU do tema simples UEBA 4.0.0

Tabela 3. Nomes e descrições de gráficos de grupos de peers do ML
Gráficos de grupos de peers	Descrição
Grupo de peers definido Grupo de peers aprendidos	Mostra o quanto a atividade de evento de um usuário se desvia da de seu grupo de peers. Um círculo vermelho indica que uma anomalia foi detectada e um evento de verificação foi gerado por aprendizado de máquina. Grupo definido é o grupo LDAP escolhido nas configurações do modelo. Comportamento detectado como são os grupos aos quais o comportamento do usuário foi semelhante durante o dia. Desvio de grupo de peers significa que a porcentagem de um usuário se desviou de seu grupo de peers definido. A confiança é baseada na quantidade de dados reunidos para construir o modelo de usuários do grupo para fazer previsões precisas. Um alerta é acionado se o desvio e a confiança excederem seus limites. Para visualizar o analítico do grupo de peers, deve-se configurar as importações de usuários para reunir as propriedades de agrupamento de usuários para atender aos requisitos mínimos. Selecione a propriedade de agrupamento na página de configuração que representa os grupos a serem modelados. Consulte Ajustando configurações de importação do usuário para obter detalhes sobre como configurar o grupo customizado. No gráfico, é possível: Clique em um ponto de dados para visualizar os Peers na tabela "seu grupo de peers". Clique no ícone Calendário para especificar um intervalo de data. Peers na tabela "seu grupo de peers" mostra a você os usuários mais arriscados no grupo de usuários atuais. É possível: Clique no nome de um usuário para abrir a página Detalhes do Usuário Clicar na lista suspensa para selecionar os atributos do usuário para exibição Procurar para filtrar os nomes de usuários A imagem a seguir mostra um exemplo de um gráfico de grupo de peers definido com agrupamentos customizados na IU do tema leve do UEBA 4.0.0

Os seguintes modelos de usuário do Machine Learning não são representados por um gráfico:

Movimento lateral: atividade de porta de destino interna
Movimento lateral: acesso à zona de rede
Movimento lateral: uso de ativo interno
Uso do Processo