Criando watchlists

Você pode adicionar e configurar listas de observação que incluem membros baseados em usuários, membros baseados em entidades e listas de observação híbridas que combinam associações de usuários e entidades.

1. Na página principal UEBA Visão geral (Painel) ou na página Detalhes do usuário clique no ícone Lista de observação .
2. No menu, selecione Criar nova lista de observação. Para incluir um usuário em uma lista de observação existente, clique em Incluir em em sua lista de observação.
3. Na guia Configurações Gerais , insira um nome da lista de observação
   Selecione uma das opções da Lista de Observação:

   • Usuário - Selecione esta opção para criar uma lista de observação para usuários.
   • Entidade - Selecione esta opção para criar uma lista de observação para entidades.
   • Híbrido - Selecione esta opção para criar uma lista de observação combinada para usuários e entidades.
4. Defina a pontuação de risco do usuário alterando o valor no campo Risco da escala do usuário por fator. Se você selecionar o fator padrão “1”, a pontuação de risco permanecerá inalterada.
5. Defina a pontuação de risco da entidade alterando o valor no campo Risco da escala da entidade por fator. Se você selecionar o fator padrão “1”, a pontuação de risco permanecerá inalterada.
6. Na seção Machine Learning , selecione a prioridade para como os usuários são controlados pela analítica Machine Learning .
   • Usuários altos são sempre rastreados até o máximo de usuários por analítica do Machine Learning .
   • Normal - Os usuários são rastreados por risco mais alto após todos os usuários altos serem incluídos.
   • Nunca-Usuários não são controlados por Machine Learning.
7. Defina o intervalo de atualização (em horas) para controlar a frequência com que a lista de observação é atualizada. Um valor zero significa desativar ou apenas atualização manual.
   Observação: uma lista de observação híbrida pode incluir simultaneamente usuários e entidades.
   O exemplo a seguir mostra as configurações da Lista de Observação.

   

   
8. Na guia Configurações de associação do usuário, configure como os membros são determinados:
   1. Opcional: No campo Importar do QRadar® conjunto de referências , procure um conjunto de referências ou clique para selecionar um conjunto de referências na lista para importar todas as entradas do conjunto de referências... Depois de selecionar um conjunto de referência, clique no link para revisar.
      Observação: a lista pode conter conjuntos de referência que não possuem nomes de usuário.
      
   2. Opcional: no campo Adicionar de usuários monitorados com filtro regex, você pode selecionar uma propriedade do usuário e inserir uma expressão regular válida POSIX para selecionar usuários que já foram encontrados no banco de dados UEBA. Uma contagem de usuários correspondentes é exibida ao lado de cada filtro regex para ajudar os administradores a ver o escopo do filtro em tempo real.
      
9. Na guia Configurações de associação à entidade, configure como os membros são determinados:
   1. Opcional: No campo Importar do QRadar conjunto de referências , procure um conjunto de referências ou clique para selecionar um conjunto de referências na lista para importar todas as entradas do conjunto de referências... Depois de selecionar um conjunto de referência, clique no link para revisar.
      Observação: a lista pode conter conjuntos de referência que não possuem nomes de usuário.
   2. Opcional: No campo Adicionar a partir de usuários monitorados com filtro regex, você pode selecionar regex nas propriedades da entidade (por exemplo: Forex). Endereço IP, nome do host, usuários vinculados) para preencher dinamicamente a lista de observação. Uma contagem de usuários correspondentes é exibida ao lado de cada filtro regex para ajudar os administradores a ver o escopo do filtro em tempo real. Se você selecionar Endereço IP (intervalo CIDR), poderá escolher entre uma lista de intervalos CIDR que já estão disponíveis no sistema. Esses intervalos de IP predefinidos podem ser selecionados conforme necessário.
10. Após configurar as definições de adesão, clique em Salvar.
11. Acesse o painel UEBA para visualizar as entidades que foram adicionadas a uma lista de observação. Revise as entidades exibidas, que são atualizadas automaticamente com base no intervalo de atualização configurado nas definições da lista de observação.
    Observação: o painel UEBA exibe apenas um número limitado de entidades.
12. Para visualizar todas as entidades associadas à lista de observação, clique em Exibir todas as entidades no painel. O sistema navega até a página Lista de observação, onde é exibida a lista completa de entidades.