Вкладка "Расчеты"
Перейдите на вкладку "Расчеты" и заполните следующие параметры.
В следующей таблице представлены параметры расчета профиля.
| Параметр | Описание | Рекомендации и комментарии |
|---|---|---|
Период дискретизации | Интервал агрегации данных (1, 5, 10, 15 минут, 1 час, 3 часа, 1 день, 3 дня, неделя) | Короткие периоды - для оперативного мониторинга, длинные - для выявления трендов (например, 15 минут для контроля параметров сетевого обмена, а 1 день для контроля параметров работы с системой в течение дня) |
Скользящее окно | Количество предыдущих периодов дискретизации, участвующих в расчёте нормы | Чем больше окно, тем стабильнее база для сравнения |
Первоначальный интервал накопления | Минимальный объем данных перед запуском расчётов | Для оперативных профилей рекомендуется не менее 3-4 дней, для дневного профилирования - не менее 14–30 дней. При наличии исторических данных время ожидания сводится только ко времени получения этих данных платформой и времени расчетов |
Логика расчёта | Среднее или медиана | Среднее - для однородных групп (рабочие станции одного типа), медиана - для разнородных (серверы + ПК + принтеры) |
Вид статистики | Индивидуальная, групповая, все виды | Индивидуальная - для выявления компрометации, групповая — для обнаружения инсайдерских действий, всех видов - для всех видов скрытых угроз (в рамках профиля будет больше данных для анализа, потребуется больше времени для расследования, но удобно для передачи во внешние системы и автоматизации) |
Учет границ | Верхняя, нижняя, обе | Верхняя - для контроля объёмов утечек; нижняя — для выявления аномально низкой активности (например, простой ресурсов или низкая эффективность работы сотрудника в подразделении) Для функции regularity доступен расчет только относительно нижней границы |
Чувствительность | Количество сигм (среднеквадратичных отклонений) для фиксации факта отклонения (срабатывания) | Настройка под бизнес-процессы: 2-4σ - для низкоприоритетных и стандартных параметров, 6–10σ - для критичных параметров |
Дополнительная проверка | Настройка дополнительной проверки рассчитанного значения по заданному условию или моделью DivergentGPT | DivergentGPT – включает использование инструмента на базе ИИ, анализирующего данные, чтобы находить отклонения, которые не находит стандартная модель. По условию – включает дополнительную проверку по условию при отнесении рассчитанного значения к аномалии. |
В поле Период дискретизации выберите частоту сбора событий – интервал времени между двумя последовательными отсчетами: 1, 5, 10, 15 минут, 1 час, 3 часа, 1 день, 3 дня, неделя.
Автоматическая подстановка значений в поле зависит от выбранной категории сущности и типа данных Поля с метками времени.
В следующей таблице приведены условия автоподстановки значений в поле Период дискретизации.
| Категория сущности\ Период дискретизации | Тип поля времени: dat | Тип поля времени, отличный от dat | ||
|---|---|---|---|---|
Значения по умолчанию | Остальные доступные значения | Значения по умолчанию | Остальные доступные значения | |
Процесс | День | 3 дня, неделя | 1 мин | 5;10;15 мин 1; 3 часа 1; 3 дня неделя |
Хост | День | 3 дня, неделя | 15 мин | 1; 5;10 мин 1; 3 часа 1; 3 дня неделя |
Пользователь | День | 3 дня, неделя | День | 1; 5; 10; 15 мин 1; 3 часа 3 дня неделя |
Подразделение | Неделя | день 3 дня | Неделя | 1; 5; 10; 15 мин 1; 3 часа 1; 3 дня |
Другое | День | 3 дня, неделя | День | 1; 5; 10; 15 мин 1; 3 часа 3 дня неделя |
В поле Скользящее окно выберите интервал времени, в рамках которого выполняется расчет с последовательным сдвигом на период дискретизации. Задается в периодах дискретизации. Автоматическая подстановка значений в поле зависит от выбранного периода дискретизации.
В следующей таблице приведены условия автоподстановки значений в поле Скользящее окно
| Период дискретизации | Значение по умолчанию | Остальные доступные значения |
|---|---|---|
минута | 60 | 30; 90; 120 |
5,10 | 30 | 45; 60 |
15 мин | 30 | 45; 60; 96 (сутки); 192 (2 суток); |
час | 48 (2 суток) | 24 (сутки); 72 (3 суток); 168 (неделя); |
3 часа | 24 | 48 |
день | 45 | 30; 60 |
3 дня | 30 | 45 |
неделя | 26 | 24; 52 |
В поле Первоначальный интервал накопления настройте первоначальный интервал сбора событий (см. рисунок ниже). Период можно выбрать из списка (час / день / неделя / месяц / год), ввести произвольный период в поля "с"/"по", или задать с помощью календаря.
Автоматическая подстановка значений в поле:
с <первая отметка времени, за которую есть данные>
по <первая отметка времени в исходных данных + период дискретизации * размер скользящего окна>
Например:
начальный интервал - 08.07.2023, 00:00
период дискретизации = 5 мин
скользящее окно = 30
первоначальный интервал накопления будет равен 08.07.2023, 02:30 (5 мин x 30 = 150 мин ⇒ 2:30)
Первый расчет профиля сущности выполняется при создании профиля, если при сохранении профиля пользователь выберет опцию "Запустить сейчас". Если в профиле будет задано расписание запуска, то последующие расчеты будут выполняться по заданному расписанию, с учетом возможного поступления новых данных в БД. Отклонения начинают выявляться и заносятся в системную таблицу в рамках следующего периода дискретизации, идущего после выбранного интервала накопления.
IMPORTANT:
1. Если выбран тип данных Dat, то первоначальный интервал накопления указывается без временной отметки, например: 22.05.2024 - 04.10.2024.
2. Если выбран тип данных DatT, то первоначальный интервал накопления указывается с временной отметкой, например: 22.05.2024, 09:00 - 04.10.2024, 09:00.
3. Если в выбранном источнике данных по времени окажется меньше, чем выбранный интервал накопления, то в поле "Первоначальный интервал накопления" устанавливается максимально возможный первоначальный интервал.
4. Если первоначальный интервал накопления окажется меньше 4 периодов дискретизации (например, период дискретизации равен день, а "Первоначальный интервал накопления" равен 3 дня и менее), то поле подсвечивается красным цветом и выводится подсказка с текстом "Необходимый объем данных отсутствует".
В группе элементов Чувствительность настройте значения отклонений и соответствующие им уровни рисков. По умолчанию при работе профиля xBA выполняется поиск отклонений только одного уровня. Чтобы анализировать специфические бизнес-процессы вы можете настроить до 4 уровней критичности:
Уровень – критический / высокий / средний / низкий;
Отклонение ─ граница указывается в среднеквадратичных отклонениях. Значение по умолчанию 10. Доступен ввод целых положительных чисел или 0.
Риск ─ значение риска для отклонений с заданным уровнем (от 1 до 100). Позволяет более точно настраивать скоринг значений рисков отклонений по разным параметрам. Значение по умолчанию 4.
Дополнительные механизмы снижения ложных срабатываний:
В группе элементов Дополнительная проверка расположены два переключателя для включения дополнительной проверки найденных отклонений:
DivergentGPT (DGPT).
Дополнительная проверка с использованием проприетарной модели машинного обучения, которая обучена на временных рядах. Выполняет контекстную доочистку результатов, снижая количество ложных срабатываний. Доступна для профилей с периодом дискретизации от суток (день, 3 дня, неделя).
Дополнительная проверка по условиям.
Параллельная фильтрация по бизнес-правилам (например, ).
Определите "условие отнесения к аномалии" - условие сравнения рассчитанного значения в рамках профиля с референсным значением (например, "больше 1000", "меньше 100", "между 8 и 10" и пр.) или с относительным значением (например, "больше в 2 раза", "меньше в 2 раза" и пр.).
Выберите значение от 1 до 10 в поле "Коэффициент". Если по результатам анализа будет выявлено отклонение и выполнено условие, то риск такого отклонения может быть повышен с учетом выбранного коэффициента (коэффициент 1 используется, если нужно просто пометить, что условие проверки выполнилось без увеличения риска).
После сохранения параметров изменения вступают в силу со следующим расчетом профиля. При этом для рассчитанных профилей включение и выключение дополнительной проверки по условию без перерасчета профиля включает и выключает отображение найденных по условию отклонений в результатах расчета.
Логика обработки результатов расчетов профиля по DGPT и по условию:
сравниваются значения отклонения по расчетам и отклонения по DGPT;
отклонение по расчетам фиксируется, только если есть отклонение по DGPT;
результаты сравниваются с проверкой значения отклонения по условию:
есть отклонение по расчетам, но нет отклонений по DGPT и по условию – требует анализа, потенциальное отклонение (розовая точка отображается на графиках);
отклонение по расчетам и отклонение по DGPT – означает подтвержденное отклонение по расчетам (розовая точка отображается на графиках);
отклонение по расчетам и отклонение только по условию – маркируется признаком срабатывания условия (оранжевая точка отображается на графиках), но не влияет на риск;
есть отклонение по расчетам, отклонение по DGPT и по условию – означает общее подтвержденное отклонение (красная точка отображается на графиках).
Была ли эта страница полезной?
Спасибо за отзыв!
Спасибо, мы учтём это для улучшения документации.