Общие сведения
Страница UEBA содержит основную статистику результатов работы сервиса и вывод списка аномалий.
Рисунок 1.
Для просмотра доступны следующие статистические данные:
Статистика аномалий за неделю;
Топ-5 пользователей;
Топ-5 хостов;
Топ-5 процессов;
Количество аномалий за неделю.
График статистики аномалий отображает количество аномалий за конкретную дату.
Топ-5 показателей среди пользователей, хостов и процессов представлены списком и кольцевой диаграммой для удобной визуализации.
Количество аномалий за неделю представляет собой столбчатую диаграмму, которая показывает количество аномалий в разрезе правил. Нажмите кнопку "Правила UEBA 
", чтобы перейти в список правил UEBA (Подробнее см. Правила UEBA).
При наведении на кольцевые диаграммы, будут показаны имена (пользователей / хостов / процессов), их количество и процентное соотношение.
Рисунок 2.
При наведении на столбчатые диаграммы, будут показаны аномалии, дата и количество срабатываний.
Рисунок 3.
Под статистикой представлен список всех аномалий, выявленных сервисом UEBA.
Чтобы произвести поиск по базовым атрибутам (хост, процесс, пользователь, действие и др.) укажите необходимые атрибуты в поисковой строке и нажмите кнопку "Поиск".
Для изменения диапазона времени просматриваемых аномалий в поисковой строке нажмите кнопку 
и выберите даты начала и окончания, затем нажмите кнопку "Применить".
Рисунок 4.
Для фильтрации списка аномалий по фильтру нажмите кнопку "
Добавить фильтр". Откроется окно с полями для ввода значений:
в поле "Поле" выберите атрибут из списка или начните писать имя атрибута;
в поле "Условие" выберите условие для поиска по атрибуту;
в поле "Значение" укажите значение атрибута; поле появляется, если было выбрано одно из условий: "равно", "не равно", "является одним из", "не является одним из".
Рисунок 5.
Помимо добавления фильтра вручную, список аномалий можно отфильтровать, выбрав какое-либо значение атрибута в списке и нажав кнопку . Нажатие кнопки 
исключает этот атрибут из поиска.
Например, если в заданном интервале указать аномалии, связанные с процессом "winlogon.exe", то над базовыми фильтрами отобразится доп. условие "process.name: winlogon.exe". Область данных обновится с учетом этого условия.
Рисунок 6.
Нажмите на примененный фильтр, чтобы изменить, временно отменить или удалить его. Область данных обновится с учетом примененных действий.
Рисунок 7.
Нажатие кнопки 
в поисковой строке вызывает меню, содержащее следующие функции:
Рисунок 8.
элемент Включить все позволяет включить атрибуты, которые были временно отключены; с них снимается маркер
;элемент Отключить все позволяет выключить атрибуты, которые были включены; на них появится маркер
;элемент Удалить все фильтры представления - позволяет удалить все персональные атрибуты, которые используются только в текущем представлении;
элемент Удалить все отключенные фильтры - позволяет снова включить все атрибуты, которые были временно отключены;
элемент Удалить все общие фильтры - позволяет исключить из общего фильтра все атрибуты, маркированные как общие;
элемент Удалить все фильтры - позволяет удалить из всех представлений обозревателя все фильтры.
Чтобы редактировать представление списка аномалий, нажмите кнопку "Колонки".
Рисунок 9.
Снимите флажок с атрибута, чтобы убрать его из списка.
Установите флажок у атрибута, чтобы добавить его в список.
Нажмите и удерживайте атрибут, чтобы переместить его для сортировки.
Чтобы сохранить изменения, нажмите кнопку "Применить". Чтобы отменить изменения, нажмите кнопку "Отменить". Для возвращения к исходным значениям атрибутов, нажмите кнопку "Восстановить по умолчанию".
Была ли эта страница полезной?
Спасибо за отзыв!
Спасибо, мы учтём это для улучшения документации.