Modules complémentaires

Certaines seulement. Comme les données de Data Store ne passent pas par l'analyse ou la corrélation, les applications basées sur l'analyse peuvent ne pas être en mesure d'utiliser pleinement les données collectées à l'aide de Data Store. Les autres capacités (production de rapports, analyse, propriétés personnalisées, tableaux de bord, etc.) devraient fonctionner comme prévu.

Les clients doivent utiliser QRadar 7.3.1 ou version ultérieure.

Data Store est une superposition de licence QRadar qui exploite la capacité existante de stockage et de traitement des processeurs d’événements et des nœuds de données pour collecter, traiter et stocker les données identifiées pour Data Store. Data Store ne nécessite aucun nouveau dispositif. Vous pouvez acheter des nœuds de données en fonction de vos besoins de stockage de données.

Data Store est principalement utilisé pour la gestion des journaux. Par conséquent, ses données sont exclues des corrélations et des capacités d'analyse de sécurité avancées. Les données de Data Store peuvent cependant être utilisées par la plupart des autres fonctions (recherche, production de rapports, visualisation et applications personnalisées créées à l'aide de QRadar App Framework).

Les données de Data Store ne peuvent pas être utilisées pour la corrélation historique. Toutefois, la politique de filtrage qui sépare les données Data Store des données SIEM peut facilement être modifiée. Dès que la politique est mise à jour, toutes les données futures collectées sont incluses dans tous les processus d'analyse et de corrélation de QRadar.

Oui. Si elle est exécutée sur une console QRadar, l'application UBA requiert un minimum de 64 Go ou jusqu'à 128 Go de mémoire. De plus, il vous faudra peut-être envisager le déploiement d'un hôte d'application pour tirer pleinement parti de l'exécution de l'application UBA avec l'application d'apprentissage automatique activée.

UBA s'intègre directement dans la solution QRadar Security Analytics, en tirant parti de l'interface utilisateur et de la base de données QRadar existantes. Toutes les données de sécurité à l'échelle de l'entreprise peuvent rester dans un seul emplacement central. Les analystes peuvent ainsi paramétrer des règles, générer des rapports et connecter des données sans avoir à se familiariser avec un nouveau système.

Comme UBA partage la même base de données sous-jacente que QRadar, toute source de données versée dans QRadar peut être surfacée et optimisée pour UBA.

UBA est fourni sous la forme d'une collection de 3 applications, 1 application LDAP qui aide à verser et à fusionner des informations sur l'identité des utilisateurs, 1 application UBA qui aide à visualiser les données et les analyses, et 1 application d'apprentissage automatique qui fournit une bibliothèque d'algorithmes d'apprentissage automatique utilisés pour créer des modèles de comportement des activités des utilisateurs.

La détection des anomalies est une technique utilisée pour identifier des modèles inhabituels qui ne sont pas conformes au comportement attendu et qui diffèrent significativement de la majorité des données.

Un score de risque correspond à la mesure numérique de la nocivité potentielle de l'activité d'un utilisateur. Chaque comportement anormal détecté par UBA a une incidence sur le score de risque d'un utilisateur.

Les algorithmes d'apprentissage automatique ingèrent les données des 4 semaines précédentes issues de la base de données QRadar partagée, et nécessitent généralement 3 à 24 heures pour créer des modèles de comportement normal.

L'application UBA peut être déployée dans QRadar sur site, dans QRadar on Cloud, ou via un déploiement IaaS ou hybride.

L'application UBA est proposée aux clients QRadar sans coût supplémentaire.

Le support IBM dispose de ressources dédiées qui peuvent vous aider à résoudre les problèmes à priorité élevée. L'application UBA inclut une section d'aide et de support pour l'utilisation de l'application UBA, de l'application LDAP et de l'application d'apprentissage automatique.

Comme pour toutes les applications et tous les modules QRadar, les données sont chiffrées au repos.