Общие сведения
Страница UEBA содержит основную статистику результатов работы сервиса и вывод списка аномалий.
Рисунок 1.
Для просмотра доступны следующие статистические данные:
Статистика аномалий за неделю;
Топ-5 пользователей;
Топ-5 хостов;
Топ-5 процессов;
Количество аномалий за неделю.
График статистики аномалий отображает количество аномалий за конкретную дату.
Топ-5 показателей среди пользователей, хостов и процессов представлены списком и кольцевой диаграммой для удобной визуализации.
Количество аномалий за неделю представляет собой столбчатую диаграмму, которая показывает количество аномалий в разрезе правил. Нажмите кнопку «Правила UEBA 
», чтобы перейти в список правил UEBA (Подробнее см. Правила UEBA).
При наведении на кольцевые диаграммы, будут показаны имена (пользователей / хостов / процессов), их количество и процентное соотношение.
Рисунок 2.
При наведении на столбчатые диаграммы, будут показаны аномалии, дата и количество срабатываний.
Рисунок 3.
Под статистикой представлен список всех аномалий, выявленных сервисом UEBA.
Чтобы произвести поиск по базовым атрибутам (хост, процесс, пользователь, действие и др.) укажите необходимые атрибуты в поисковой строке и нажмите кнопку «Поиск».
Для изменения диапазона времени просматриваемых аномалий в поисковой строке нажмите кнопку 
и выберите даты начала и окончания, затем нажмите кнопку «Применить».
Рисунок 4.
Для фильтрации списка аномалий по фильтру нажмите кнопку «
Добавить фильтр». Откроется окно с полями для ввода значений:
в поле «Поле» выберите атрибут из списка или начните писать имя атрибута;
в поле «Условие» выберите условие для поиска по атрибуту;
в поле «Значение» укажите значение атрибута; поле появляется, если было выбрано одно из условий: «равно», «не равно», «является одним из», «не является одним из».
Рисунок 5.
Помимо добавления фильтра вручную, список аномалий можно отфильтровать, выбрав какое-либо значение атрибута в списке и нажав кнопку . Нажатие кнопки 
исключает этот атрибут из поиска.
Например, если в заданном интервале указать аномалии, связанные с процессом «winlogon.exe», то над базовыми фильтрами отобразится доп. условие «process.name: winlogon.exe». Область данных обновится с учетом этого условия.
Рисунок 6.
Нажмите на примененный фильтр, чтобы изменить, временно отменить или удалить его. Область данных обновится с учетом примененных действий.
Рисунок 7.
Нажатие кнопки 
в поисковой строке вызывает меню, содержащее следующие функции:
Рисунок 8.
элемент Включить все позволяет включить атрибуты, которые были временно отключены; с них снимается маркер
;элемент Отключить все позволяет выключить атрибуты, которые были включены; на них появится маркер
;элемент Удалить все фильтры представления - позволяет удалить все персональные атрибуты, которые используются только в текущем представлении;
элемент Удалить все отключенные фильтры - позволяет снова включить все атрибуты, которые были временно отключены;
элемент Удалить все общие фильтры - позволяет исключить из общего фильтра все атрибуты, маркированные как общие;
элемент Удалить все фильтры - позволяет удалить из всех представлений обозревателя все фильтры.
Чтобы редактировать представление списка аномалий, нажмите кнопку «Колонки».
Рисунок 9.
Снимите флажок с атрибута, чтобы убрать его из списка.
Установите флажок у атрибута, чтобы добавить его в список.
Нажмите и удерживайте атрибут, чтобы переместить его для сортировки.
Чтобы сохранить изменения, нажмите кнопку «Применить». Чтобы отменить изменения, нажмите кнопку «Отменить». Для возвращения к исходным значениям атрибутов, нажмите кнопку «Восстановить по умолчанию».
Была ли эта страница полезной?
Спасибо за отзыв!
Спасибо, мы учтём это для улучшения документации.