UEBA: Vários uploads de arquivos bloqueados seguidos de um upload bem-sucedido

O aplicativo QRadar® User Entity Behavior Analytics (UEBA) suporta casos de uso baseados em regras para determinadas anomalias comportamentais.

UEBA: Vários uploads de arquivos bloqueados seguidos de um upload bem-sucedido

Ativado por Padrão

Não

senseValue padrão

22

Padrão senseValueSource

22

Padrão senseValueDestination

22

Descrição

Detecta quando há um alto volume de uploads de arquivos bloqueados seguidos por um upload bem-sucedido.

Regras de suporte

  • BB:UBA: upload de arquivo bem-sucedido
  • BB:UBA: uploads de vários arquivos bloqueados
  • BB:UBA: Filtros de Origem de Log Comuns
Nota: os eventos para ambos os blocos de construção estão acima das portas 443, 80 e 21

Configuração Necessária

Ative a opção Pesquisar ativos por nome de usuário, quando o nome de usuário não estiver disponível para dados de evento ou fluxo em Configurações administrativas > Configurações do UBA.

Tipos de origem de log

Uploads de arquivos bloqueados: categorias de eventos: (Access.FTP Action Denied, Access.Firewall Session Closed, Access.Access Denied)

Uppload de arquivo bem-sucedido: categorias de eventos: (Access.FTP Action Allowed, Access.Firewall Session Opened, Access.Access Permitted)