UEBA visão geral e detalhes do usuário

O app IBM® QRadar® User Entity Behavior Analytics (UEBA) mostra os dados de risco geral para os usuários em sua rede

Página de visão geral

Depois de instalar e configurar o app UEBA , abra a página Visão geral do UEBA (Painel)

Nota: o número suportado de usuários que o app UEBA pode monitorar é 400.000 usuários.

No campo Viewing: All users , você pode criar e selecionar visualizações para customizar a visualização do seu painel. Para obter mais informações, consulte Gerenciamento das exibições do painel do UEBA.

No campo Search (Pesquisar ), é possível pesquisar usuários por nome, endereço de e-mail e nome de usuário. Conforme você insere um nome, o aplicativo mostra os cinco principais resultados.

O rótulo Locatário mostra o nome de domínio do locatário atual sendo visualizado.

O nível de risco para cada usuário é indicado por um ícone. O ícone do quadrado amarelo (baixo) mostra quando o risco é de 25% ou menos do limite de risco. O diamante laranja (médio) mostra quando o risco está em 50% do limite de risco. A pirâmide vermelha (alta) mostra quando o risco está em 75%. O triângulo vermelho (crítico) mostra quando o risco está em 100% ou mais.

O painel é atualizado automaticamente a cada minuto e mostra os dados de risco a seguir:

Tabela 1. Dados do painel do UBA
Configurações do painel	Descrição
Usuários Monitorados	Exibe o número total de usuários que o aplicativo UEBA está monitorando ativamente..
Entidades monitoradas	Exibe o número total de entidades que o aplicativo UEBA está monitorando ativamente.
Usuários de Alto Risco	Exibe o número de usuários que estão atualmente excedendo a pontuação de risco. O valor para determinar a pontuação de risco é configurado no "Limite de risco para acionar ofensas" em UEBA Configurações.
Usuários Descobertos de Eventos	Exibe o número de usuários que são descobertos por meio de eventos, excluindo os usuários importados.
Usuários Importados do Diretório	Exibe o número de usuários que foram importados das tabelas de referência.
Entidades de alto risco	Exibe o número de entidades que estão atualmente excedendo a pontuação de risco. O valor para determinar a pontuação de risco é configurado no "Limite de risco para acionar ofensas" em UEBA Configurações.
Analítica ativa	Regras: indica o status do conteúdo das regras e quantas regras estão ativas. Um status verde indica que as regras estão instaladas e ativas. Cinza indica que as regras estão desativadas. Amarelo indica que a instalação está em andamento. Clique para abrir a página Regras e ajustes. Nota: em um ambiente de diversos locatários, apenas um Usuário administrativo pode ver o status de instalação das regras para o UBA do administrador ou do locatário. O administrador do locatário e o usuário locatário sempre veem um status verde de regras no painel. Dica: A contagem de regras é baseada no número total de regras que a UBA sabe existir, independentemente de as regras serem instaladas ou não. A filtragem Usar Case Manager é baseada no que está instalado. Para obter mais informações, consulte Conteúdo compatível com QRadar. Machine Learning: Indica o status de Machine Learning e quantos modelos estão ativos. Um status verde indica que o aplicativo Machine Learning Analytics está instalado.. O cinza indica que o aplicativo Machine Learning Analytics não está instalado Clique para instalar ou configurar o Machine Learning Nota: em um ambiente de diversos locatários, o status é sempre Verde.
Usuários monitorados	Exibe os 10 principais usuários mais risquiados. Clique em um nome de usuário para visualizar os detalhes disponíveis no painel Detalhes do usuário. Risco recente: mostra o risco acumulado para o respectivo usuário para os últimos 5 minutos. Risco geral: mostra um gráfico de linhas que ilustra a tendência geral de pontuação de risco do usuário para a última hora. A cor do gráfico indica o risco geral. Ícone de lista de observação: inclua o usuário em uma lista de observação ou crie uma lista de observação. O número indica de quantas listas de observação o usuário é membro. É possível visualizar todos os usuários rastreados na página Procurar.
Ofensas recentes	Exibe as últimas cinco ofensas mais recentes, que são classificadas pelo horário da última atualização da ofensa.
[ User ] Watchlist	Watchlists que você criou. É possível criar tantas listas de observação quanto você desejar, e elas serão exibidas no Painel. É possível visualizar todos os usuários rastreados na lista de observação customizada criada na página Procurar. Dica: Para adicionar um usuário a uma watchlist, clique no ícone Watchlist . O número indica de quantas listas de observação o usuário é membro.
Pontuação do sistema	Pontuação de risco acumulada geral para todos os usuários em um momento especificado. Clique no ícone Calendário para especificar um intervalo de dados maior que um dia. A duração máxima que pode ser selecionada é de 30 dias a qualquer momento durante o último ano. Nota: se você estiver em uma visualização de painel customizada, o gráfico Pontuação do sistema não será mostrado.
Detalhamento de categoria de risco	Categorias de risco de alto nível ao longo da última hora. Clique no gráfico para ver as subcategorias e, em seguida, clique para ver uma exibição de eventos. Clique no ícone Visualização de tabela para visualizar as mesmas informações em um formato de tabela. Nota: se você estiver visualizando uma visualização de painel customizado, o gráfico de divisão da categoria de risco não será mostrado.
Usuários com contas inativas	Lista de observação de usuários que estão sinalizados como tendo contas inativas. A lista Usuários com Contas Inativas é gerada automaticamente.
Investigações ativas	Os usuários que estão atualmente sob investigação. Selecione a caixa de seleção Minhas investigações para mostrar apenas as investigações que você iniciou.
Status dos modelos de aprendizado de máquina	O status da Machine Learning Analytics será visível se o aplicativo do Machine Learning estiver instalado. Para obter mais informações, consulte o painel do UEBA com Machine Learning.

Página de detalhes do usuário

É possível clicar em um nome de usuário de qualquer lugar do aplicativo para abrir o painel de detalhes do usuário e ver os detalhes do usuário selecionado. Para abrir a página Detalhes do usuário completa, clique em Visualizar detalhes do usuário no painel.

É possível aprender mais sobre as atividades do usuário com a área de janela do visualizador de eventos. A área de janela do visualizador de eventos mostra informações sobre uma atividade ou um momento selecionado. Clicar em um evento na área de janela visualizador de eventos revela mais detalhes, como eventos de syslog e informações de carga útil. A área de janela do visualizador de eventos está disponível para todos os gráficos de rosca e de linha e as atividades na Linha de tempo de atividade de risco na página Detalhes do Usuário.

A página Detalhes do Usuário inclui as seguintes informações do usuário:

Mostra o nome e os aliases do usuário selecionado e quaisquer detalhes adicionais de atributos (incluindo informações de domínio, gerenciador e peer) que são importados do LDAP.
Mostra o status (inativo, ativo, nunca usado) de todas as contas que são consideradas associadas ao usuário.
Se você tiver o IBM QRadar Advisor with Watson 2.5.2 ou mais recente instalado, será possível procurar informações relacionadas ao usuário. Deve-se ter privilégios de administrador do QRadar. Clique no ícone Procurar Watson ..
Para iniciar uma investigação sobre o usuário, clique no ícone Iniciar Investigação. Quando sua investigação for concluída, clique no ícone Terminar Investigação.
Para incluir o usuário em uma lista de observação ou criar uma lista de observação, clique no ícone Lista de observação.

A lista Ações avançadas inclui as ações a seguir:

Tabela 2. Lista de ações avançadas
Ações Avançadas	Descrição
Incluir alerta customizado	É possível configurar um alerta customizado que é exibido pelo nome do usuário. Clique em Incluir alerta customizado, insira uma mensagem de alerta e, então, clique em Configurar. Para remover o alerta customizado para o usuário selecionado, clique em Remover alerta customizado.
Incluir na lista de usuários confiáveis	Deve-se ter privilégios de administrador do QRadar. É possível incluir o usuário selecionado na lista de usuários confiáveis para que o usuário não gere pontuações de risco e ofensas. Para remover o usuário selecionado da lista, clique em Remover da lista de usuários confiáveis. Para revisar a lista completa de usuários que foram adicionados à lista, consulte Visualização da lista de usuários confiáveis.
Gerar relatório de conformidade com o GDPR para o usuário	É possível gerar um relatório de conformidade com o General Data Protection Regulation (GDPR) para o usuário. Importante: Gerar o relatório antes de clicar em Excluir e parar o usuário de rastreamento.
Excluir e Parar Rastreamento de Usuário	Deve-se ter privilégios de administrador do QRadar. Você pode clicar em Excluir e Parar Rastreamento de Usuário para obedecer o General Data Protection Regulation (GDPR). Selecione Sim para excluir permanentemente e parar o rastreamento do usuário. Para começar a rastrear o usuário novamente, exclua os aliases do usuário do conjunto de referência `UBA : Users Not Tracked`. Para visualizar todos os alias de usuário, faça download do relatório GDPR antes de excluir o usuário. Para obter mais informações sobre o conjunto de referência `UBA: Usuários não rastreados`, consulte Conjuntos de referência.
Sempre rastree com o Machine Learning	Deve-se ter privilégios de administrador do QRadar. É possível clicar em Sempre rastrear com o Machine Learning para incluir o usuário no conjunto de referência `UBA: ML Always Tracked Watchlist`. A inclusão do usuário no conjunto de referência fornece a mais alta probabilidade de que o usuário seja incluído em um modelo de aprendizado de máquina. Para obter mais informações sobre conjuntos de referência no UBA, consulte Conjuntos de referência. Para remover o usuário selecionado do conjunto de referência, clique em Rastreado com aprendizado de máquina.

É possível visualizar as seguintes informações sobre o usuário selecionado:

Tabela 3. Configurações de detalhes do usuário
Detalhes do usuário	Descrição
Contagem de Risco Geral	A pontuação de risco geral mostra as tendências de risco para o usuário.
Linha de Tempo	O gráfico de linha de tempo mostra Casos de uso e Eventos do usuário. Os casos de uso são eventos que contribuem para a pontuação de risco. Os eventos do usuário são todos eventos acionados pelo usuário. O eixo Y é a contagem de eventos e o eixo X é o tempo. É possível clicar em qualquer atividade na linha de tempo para abrir a área de janela do visualizador de eventos, que lista os eventos de log de apoio que estão associados à atividade do usuário. Clique em um evento para visualizar mais detalhes, como eventos syslog e informações de carga útil. A atividade de linha de tempo é agrupada por sessões e dias. As sessões são definidas na seção Configurações do aplicativo da página Configurações do UBA. As cores representam o risco geral de uma sessão. Clique no ícone Calendário para especificar o intervalo de data (1 - 14 dias). É possível customizar as configurações de métrica que são exibidas para a linha de tempo clicando no ícone Configurações de métrica. É possível incluir e remover as categorias que você deseja ver. Os dados mostrados na seção de métricas de Exemplo da tela Configurações de métrica não representam valores reais.
Ofensas recentes	Mostra qualquer ofensa do tipo de usuário, no qual o nome do usuário correspondeu a quaisquer aliases do usuário selecionado. As últimas cinco ofensas são exibidas. Clique em uma ofensa para abrir a guia Ofensas no QRadar.
Detalhamento da categoria de risco	Mostra as categorias de risco do usuário selecionado durante a última hora.
Notas	Digite uma nota na seção Nova nota para incluir uma nota para o usuário selecionado. As notas são excluídas automaticamente após o período de retenção de 30 dias. Nota: Para salvar a nota por tempo indeterminado, clique no ícone Keep forever .

É possível configurar alguns gráficos de aprendizado de máquina para serem exibidos na página Detalhes do usuário se o aplicativo Machine Learning Analytics estiver instalado e o modelo especificado estiver ativado, Para obter mais informações, consulte o painel do UEBA com Machine Learning.

Para retornar à página principal de Visão geral do UBA, clique em Visão geral.