Integrando conteúdo novo ou existente do QRadar com o app UEBA
Para atender às suas necessidades específicas, é possível usar os recursos que são construídos no QRadar® integrando suas regras existentes do QRadar com o app UEBA .
Antes de iniciar
A seguir estão os três tipos de conteúdo que funcionam com o UEBA:
- Conteúdo criado pelo UEBA e instalado com uma pontuação de risco.
- Conteúdo que não é criado pelo UEBA , mas tem uma pontuação de risco e funciona com o UEBA por padrão. Para obter mais informações, consulte o Conteúdo suportado do QRadar
- Todos os outros conteúdos no QRadar que podem ser modificados para trabalhar com o UEBA
O UEBA usa uma tabela de referência QRadar ("UBA: Dados da regra") para determinar a pontuação para fornecer os eventos que são enviados pelas regras que trabalham com o UEBA... Quando UEBA é instalado, a tabela é inicialmente preenchida com todo o conteúdo que funciona com UEBA por padrão. Uma tarefa é executada a cada hora que extrai quaisquer regras que foram modificadas para incluir um valor de detecção na descrição na tabela Dados da Regra..
Restrição: O valor de detecção na descrição do evento não deve ser modificado.. A pontuação de risco deve ser modificada na página UEBA Regras e Ajuste ou no QRadar Use
Case Manager.
Nota: quando regras são incluídas na tabela de referência, elas não podem ser removidas. Para parar as regras de enviar uma pontuação de risco para UEBA, é possível desativar a regra ou configurar a pontuação de risco para zero. Para obter mais informações, consulte Regras e ajustes para o aplicativo UEBA.
Sobre esta tarefa
Restrição: não customize suas regras para usar os conjuntos de referência UEBA e Machine
Learning Tentar usar os conjuntos de referência em regras customizadas pode levar a falhas no aplicativo UEBA .
Se a regra funciona em dados de fluxo, deve-se ativar a opção Procurar ativos para nome do usuário, quando o nome do usuário não está disponível para dados de evento ou de fluxo para que eventos sem nomes de usuários possam tentar uma consulta para mapeamento de usuário.
O limite máximo de pontuação de risco é configurado na seção Configurações do aplicativo na página Configurações do UEBA Para obter mais informações, Configurando definições do aplicativo.
Integrando conteúdo sem QRadar Use Case Manager (ou QRadar Use Case Manager 3.1.0 ou anterior)
Sobre esta tarefa
- Você não está usando nenhuma versão do QRadar Use Case Manager
- Você está usando uma versão mais antiga do QRadar Use Case Manager (3.1.0 ou anterior)
- Você está em uma versão não suportada de UEBA (mais de duas versões de volta da versão liberada atual).
Procedimento
- Crie uma cópia da regra existente. Fazer uma cópia de uma regra existente impede que as atualizações na regra base afetem as edições feitas na nova regra.
- Abra a regra no Assistente de regra e, em seguida, acesse a seção Resposta de regra
- Ativar ou editar a opção Despachar novo evento , assegurando que o texto Descrição do evento seja formatado da seguinte maneira: senseValue=#
- Clique em Concluir para salvar as alterações
Integrando conteúdo com o Use Case Manager 3.2.0 ou mais recente
Sobre esta tarefa
- Você está usando o QRadar Use Case Manager 3.2.0 ou posterior.
- Você está usando uma versão suportada do UEBA
Atenção: ao fazer upgrade para o UEBA 4.1.0 ou mais recente e para o QRadar Usar Case Manager 3.2.0 ou mais recente, você gerencia regras no QRadar Use Case Managere não gerencia mais regras na página UEBA Regras e Ajustes . Para obter mais informações, consulte QRadar Use Case Manager..
Procedimento
- Crie uma duplicata da regra existente Fazer uma duplicata de uma regra existente impede que as atualizações na regra base afetem as edições feitas na nova regra.
- Selecione a regra para abrir a página de detalhes e, em seguida, selecione pontuação de risco do User Behavior Analytics.
- Insira a pontuação e aguarde que ela seja salva.