Regras e ajuste para ocupação variada no UEBA

As regras são ativadas ou desativadas por padrão para cada instância do UEBA para suportar ocupação variada no User Entity Behavior Analytics (UEBA) app 3.6.0 e posterior. Se forem necessárias mudanças nas regras para um subconjunto de instâncias, será necessário mudar o comportamento de regra manualmente.

O procedimento a seguir deve ser concluído pelo administrador do QRadar® ou pelo administrador do MSSP

Por padrão, todas as regras são ativadas para cada instância do UEBA. Se você tiver necessidade de fazer qualquer regra funcionar para um subconjunto das instâncias, será necessário editar a regra da forma a seguir:
  1. Faça uma cópia da regra e renomeie a regra e o evento para se adequarem à situação. Por exemplo, se o Domain1 desejar a regra "UBA: atividade do usuário finalizada" ativada enquanto os outros não, copie a regra e renomeie-a para "UBA: Domain1 da atividade do usuário finalizada". Renomeie o evento igual.
  2. Na nova regra, inclua o teste "quando o domínio for um dos seguintes" e selecione os domínios aos quais ele deve se aplicar. Mova o teste para a parte superior da lista.
  3. Se a regra for do tipo que grava em alguns dados de referência, mude a configuração de Dados compartilhados para Domínio específico.
  4. Certifique-se de que a nova regra esteja ativada.
  5. Salve a regra.
  6. Certifique-se de que a regra original esteja desativada. Nota: deve-se excluir o domínio desejado da regra original se a regra ainda for necessária após a criação da cópia.

Problema conhecido

No QRadar 7.4.0 Fix Pack 1, não há como tornar o domínio do limitador de regra ciente. Cada regra que se aplicar a mais de um único domínio será limitada entre domínios. Por exemplo, se o Domain1 e o Domain2 tiverem um "João da Silva" que acione a mesma regra dentro do prazo de limitação, apenas um dos usuários será sinalizado pela regra.