Visão Geral do Processo

O app UEBA funciona com o seu sistema QRadar® para coletar dados sobre os usuários dentro de sua rede

Diagrama de visão geral do processo.

Como o UEBA funciona

  1. Os logs enviam dados para o QRadar
  2. As regras específicas do UEBA procuram determinados eventos (dependendo de quais regras do UEBA estão ativadas) e acionam um novo evento de controle que é lido pelo aplicativo UEBA .
  3. As regras do UEBA requerem que os eventos tenham um nome de usuário e outros testes (revise as regras para ver o que eles estão procurando)..
  4. UEBA puxa o senseValue de uma tabela de referência e o nome do usuário do evento de detecção e, em seguida, aumenta a pontuação de risco desse usuário pela quantia senseValue .
  5. Quando a pontuação de risco de um usuário excede o limite configurado na página UEBA Configurações, UEBA envia um evento que aciona a regra "UBA: Criar ofensa" e uma ofensa é criada para esse usuário.

Pontuação de

Uma pontuação de risco é a soma de todos os eventos de risco detectados pelas regras UEBA . Quanto maior a pontuação de risco, maior a probabilidade de um usuário interno ser um risco de segurança e isso garante a revisão adicional da atividade de rede do usuário. A pontuação de risco será reduzida ao longo do tempo se nenhum evento novo ocorrer. A quantia da redução é controlada a partir do valor em Risco de redução por esse fator por hora na página Configurações UEBA .

Como os senseValues são usados para criar pontuações de risco do usuário

Cada regra e análise de dados tem um valor designado a ela que indica a severidade do problema localizado. Cada vez que as ações de um usuário fazem uma regra ser acionada, o usuário tem esse valor incluído na pontuação. Quanto mais o usuário "viola" uma regra, maior a pontuação será.

Regras e eventos de verificação

As regras, quando acionadas, geram eventos de verificação para determinar a pontuação de risco do usuário.

É possível atualizar as regras existentes no QRadar para produzir eventos de detecção. Para obter mais informações, consulte Integração de conteúdo novo ou existente do site QRadar com o aplicativo UEBA.

Machine Learning Analytics e eventos de detecção

É possível instalar o aplicativo Machine Learning Analytics e ativar a analítica de aprendizado de máquina para identificar o comportamento anormal do usuário. A análise de dados, quando acionada, gerará eventos de verificação que também aumentam a pontuação de risco de um usuário.