Özel model yaratılması

Saat başına bir kişi için sayısal bir özelliği ölçmek ve temel çizgisini oluşturmak için özel bir model oluşturun.

1. Gezinme menüsünde ( ), Admin(Yönetici) seçeneğini tıklatın.
2. Uygulamalar > Kullanıcı Analitiği > Machine Learning Ayarlarıöğesini tıklatın.
3. Machine Learning Ayarları sayfasında Model Oluşturseçeneğini tıklatın.
4. Model Tanımı etiketinde, AQL alanına veri yerleştirmek için bir şablon seçebilir ya da özel bir AQL sorgusu yaratabilirsiniz.
5. İleri düğmesini tıklatın.
   
6. Genel Ayarlar sekmesinde bir ad ve açıklama girin.
7. Bir algılama olayı tetiklendiğinde kullanıcının risk puanını artırmak için Algılama olayının risk değeri alanına miktarı girin. Varsayılan değer 5 'dir.
8. Risk değerini ölçeklemek için geçiş özelliğini etkinleştirin. Geçerli kılındığında, temel risk değeri bir katsayı ile çarpılır (1-10 aralık). Bu faktör, kullanıcının beklenen davranışlarından ne kadar saptanıdığına ve sadece sapmalarından değil, ne kadar saptıkları ile belirlenir.
9. Confidence interval to trigger anomaly (Olağandışı durumu tetikleyecek güven aralığı) alanında, bir olağandışı olayı tetiklemeden önce makine öğrenme algoritmasının ne kadar güvene sahip olması gerektiğine ilişkin yüzdeyi girin. Varsayılan değer 0.95' dir.
10. Veri Saklama Süresi alanında, model verilerini kaydetmek istediğiniz gün sayısını ayarlayın. Varsayılan değer 30 'tır.
11. Grafik Kullanıcı Ayrıntıları sayfasında göster geçişi varsayılan olarak devre dışıdır. Özel model grafimesini Kullanıcı Ayrıntıları sayfasında görüntülemek istiyorsanız, geçiş için geçiş düğmesini tıklatın.
12. İsteğe bağlı: AQL Search Filter (AQL Arama Süzgeci) alanında, QRadar içinde analitik sorguların olduğu verileri daraltmak için bir AQL süzgeci ekleyebilirsiniz. Bir AQL sorgusuyla süzgeç uygulayarak, kullanıcı sayısını ya da analitik çözümlemesinin analiz yaptığı veri tiplerini azaltabilirsiniz. Ayarlarınızı kaydetmeden önce, QRadar içinde tam bir AQL sorgusu başlatmak için Sorguyu Doğrula ' yı tıklatın; böylece sorguyu gözden geçirebilir ve sonuçları doğrulayabilirsiniz.
    Önemli: AQL süzgecini değiştirirseniz, var olan model geçersiz olarak işaretlenir ve sonra yeniden oluşturulur. Yeniden oluşturma süresinin, değiştirilen süzgecin döndürdüğü veri miktarına bağlı olduğu süre.
    Belirli bir günlük kaynaklarını, ağ adlarını ya da belirli kullanıcıları içeren başvuru kümelerini süzgeçten geçirebilirsiniz. Aşağıdaki örneklere bakın:

    • REFERENCESETCONTAINS('Important People', username)
    • LOGSOURCETYPENAME(devicetype) in ('Linux OS', 'Blue Coat SG Appliance', 'Microsoft Windows Security Event Log')
    • INCIDR('172.16.0.0/12', sourceip) or INCIDR('10.0.0.0/8', sourceip) or INCIDR('192.168.0.0/16', sourceip)
    Ek bilgi için Ariel Query Languagebaşlıklı konuya bakın.
13. Kaydetdüğmesini tıklatın.