Criando um modelo customizado

Crie um modelo customizado para medir e faça a linha de base de um recurso numérico para uma pessoa por hora.

1. No menu de navegação ( ), clique em Administrador.
2. Clique em Aplicativos > Análise de entidade do usuário > Configurações Machine Learning.
3. Na página Machine Learning Configurações , clique em Criar Modelo.
4. Na guia Definição de Modelo , você pode selecionar um modelo para preencher o campo AQL ou pode criar uma consulta AQL personalizada.
5. Clique em Avançar.
   
6. Na guia Configurações Gerais , digite um nome e uma descrição.
7. No campo Valor de risco de sentido , digite a quantidade para aumentar a pontuação de risco do usuário quando um evento de sentido é acionado. O valor padrão é 5.
8. Ative a alternância para escalar o valor de risco. Quando ativado, o valor de risco base é multiplicado por um fator (intervalo de 1 a 10). Esse fator é determinado por quanto o usuário se desvia do comportamento esperado e não somente pelo fato de ter desviado.
9. No campo Intervalo de Confiança para acionar anomalia , digite o percentual para o quão confiante o algoritmo de aprendizado de máquina deve ser antes de acionar um evento anômalo. O valor padrão é 0,95.
10. No campo Período de Retenção de Dados , configure o número de dias que você deseja salvar os dados do modelo. O valor padrão é 30.
11. A comutação Mostrar gráfico em Detalhes do usuário é desativada por padrão. Se você desejar exibir o gráfico do modelo customizado na página Detalhes do usuário, clique no comutador.
12. Opcional: no campo Filtro de Procura AQL , é possível incluir um filtro AQL para limitar os dados que a analítica consulta no QRadar. Ao filtrar uma consulta AQL, é possível reduzir o número de usuários ou os tipos de dados analisados pela análise. Antes de salvar suas configurações, clique em Validar consulta para ativar uma consulta AQL integral no QRadar para que seja possível revisar a consulta e verificar os resultados.
    Importante: Se você modificar o filtro AQL, o modelo existente é marcado inválido e será então reconstruído. O período de tempo da reconstrução depende da quantidade de dados retornada pelo filtro modificado.
    É possível filtrar origens de log específicas, nomes de rede ou conjuntos de referência que contenham usuários específicos. Consulte os exemplos a seguir:

    • REFERENCESETCONTAINS('Important People', username)
    • LOGSOURCETYPENAME(devicetype) in ('Linux OS', 'Blue Coat SG Appliance', 'Microsoft Windows Security Event Log')
    • INCIDR('172.16.0.0/12', sourceip) or INCIDR('10.0.0.0/8', sourceip) or INCIDR('192.168.0.0/16', sourceip)
    Para obter mais informações, consulte Ariel Query Language.
13. Clique em Salvar.