Machine Learning Modelos de Usuário

Para visualizar informações no aplicativo Machine Learning Analytics , deve-se configurar as definições de Machine Learning para os Modelos de usuário

Sobre esta tarefa

É possível ver o tipo e o número de usuários em cada modelo. Também é possível visualizar a lista de usuários no modelo clicando na contagem.

Na página Modelos do Usuário, é possível executar as seguintes ações:
  • Ativar até 17 modelos
  • Selecionar um modelo para editar as configurações padrão.
  • Criar seus próprios modelos customizados com os modelos incluídos.
Atenção: depois de configurar ou modificar suas definições, levará no mínimo 1 hora para alimentar dados, construir um modelo inicial e ver os resultados iniciais para os usuários. Para obter mais informações, consulte Requisitos analíticos de aprendizado de máquina.

Os usuários ativos são monitorados continuamente. Se um usuário não tiver atividade por 28 dias, o usuário e os dados do usuário serão removidos do modelo. Se o usuário estiver ativo novamente, ele retornará como um novo usuário.

Procedimento

  1. No menu de navegação ( Ícone do menu de navegação ), clique em Administrador.
  2. Clique em Aplicativos > Análise de entidade do usuário > Configurações Machine Learning.
  3. Na página Machine Learning , clique em Ativado para ativar o modelo selecionado.
  4. Clique no nome do modelo se você deseja editar as configurações padrão.
  5. No campo Valor de risco do evento de detecção , insira a quantia para aumentar a pontuação de risco do usuário quando um evento de detecção for acionado. O valor padrão é 5.
  6. Ative a alternância para escalar o valor de risco. Quando ativado, o valor de risco base é multiplicado por um fator (intervalo de 1 a 10). Esse fator é determinado por quanto o usuário se desvia do comportamento esperado e não somente pelo fato de ter desviado.
  7. No campo Intervalo de confiança para acionar anomalia , insira a porcentagem para o quão confiante o algoritmo de aprendizado de máquina deve estar antes de acionar um evento anômalo. O valor padrão é 0,95.
  8. No campo Período de Retenção de Dados , configure o número de dias que você deseja salvar os dados de modelo O valor padrão é 30.
  9. A alternância Mostrar gráfico na página Detalhes do usuário é ativada por padrão para exibir o gráfico selecionado na página Detalhes do usuário . Se você não deseja exibir um gráfico na página Detalhes do usuário, clique no comutador.
  10. Para modelos de Grupo de Peers e Distribuição de Atividade, no campo Agrupar por , selecione o grupo que deseja que a analítica do grupo de peers selecionado use.
  11. Opcional: no campo Filtro de Procura AQL , é possível incluir um filtro AQL para limitar os dados que a analítica consulta no QRadar. Ao filtrar uma consulta AQL, é possível reduzir o número de usuários ou os tipos de dados analisados pela análise. Antes de salvar suas configurações, clique em Validar consulta para ativar uma consulta AQL integral no QRadar para que seja possível revisar a consulta e verificar os resultados.
    Importante: Se você modificar o filtro AQL, o modelo existente será marcado como inválido e, em seguida, será reconstruído. O período de tempo da reconstrução depende da quantidade de dados retornada pelo filtro modificado.
    É possível filtrar origens de log específicas, nomes de rede ou conjuntos de referência que contenham usuários específicos. Consulte os exemplos a seguir:
    • REFERENCESETCONTAINS('Important People', username)
    • LOGSOURCETYPENAME(devicetype) in ('Linux OS', 'Blue Coat SG Appliance', 'Microsoft Windows Security Event Log')
    • INCIDR('172.16.0.0/12', sourceip) or INCIDR('10.0.0.0/8', sourceip) or INCIDR('192.168.0.0/16', sourceip)
    Para obter mais informações, consulte Ariel Query Language.
  12. Clique em Salvar

Resultados

Pode levar no mínimo 1 hora para o aplicativo ingerir dados e construir um modelo inicial.