Вкладка "Общие"

Mon, 01 Jan 0001 00:00:00 +0000

Профиль формируется на основе следующих параметров:

источник данных – таблица или вью в хранилище данных;
поле временной метки – обязательное условие для анализа временных рядов;
категория сущности и поле идентификатора – например, user_sid для пользователей, host_name для хостов;
функция профилирования – ключевой параметр, определяющий, что именно анализируется.

В следующей таблице представлены общие параметры профиля.

Параметр

Описание

Рекомендации и комментарии

База данных

База данных в хранилище, которая является источником исходных данных

Таблица

Таблица исходных данных, по которой будет строиться профиль

Вкладка "Расчеты"

Mon, 01 Jan 0001 00:00:00 +0000

Перейдите на вкладку "Расчеты" и заполните следующие параметры.

В следующей таблице представлены параметры расчета профиля.

Параметр

Описание

Рекомендации и комментарии

Период дискретизации

Интервал агрегации данных (1, 5, 10, 15 минут, 1 час, 3 часа, 1 день, 3 дня, неделя)

Короткие периоды - для оперативного мониторинга, длинные - для выявления трендов (например, 15 минут для контроля параметров сетевого обмена, а 1 день для контроля параметров работы с системой в течение дня)

Скользящее окно

Количество предыдущих периодов дискретизации, участвующих в расчёте нормы

Чем больше окно, тем стабильнее база для сравнения

Первоначальный интервал накопления

Минимальный объем данных перед запуском расчётов

Для оперативных профилей рекомендуется не менее 3-4 дней, для дневного профилирования - не менее 14–30 дней. При наличии исторических данных время ожидания сводится только ко времени получения этих данных платформой и времени расчетов

Логика расчёта

Среднее или медиана

Среднее - для однородных групп (рабочие станции одного типа), медиана - для разнородных (серверы + ПК + принтеры)

Вид статистики

Индивидуальная, групповая, все виды

Индивидуальная - для выявления компрометации, групповая — для обнаружения инсайдерских действий, всех видов - для всех видов скрытых угроз (в рамках профиля будет больше данных для анализа, потребуется больше времени для расследования, но удобно для передачи во внешние системы и автоматизации)

Учет границ

Верхняя, нижняя, обе

Верхняя - для контроля объёмов утечек; нижняя — для выявления аномально низкой активности (например, простой ресурсов или низкая эффективность работы сотрудника в подразделении)

Вкладка "Визуализация"

Mon, 01 Jan 0001 00:00:00 +0000

На вкладке "Визуализация" можно настраивать названия осей графиков 1-го и 2-го уровней представления профилей, а также выбирать их расположение (вертикально или горизонтально) для более удобной визуализации и интерпретации результатов.

График "Параметры поведения [категория сущности]: [логика расчета]":

Название категории сущностей и логики расчета заполняются согласно установленным на вкладке "Общие" и "Расчеты", например, "Параметры поведения пользователей: средние значения".

Настройте подписи осей графика параметров поведения сущностей (1 уровень):

Название оси Х - значение по умолчанию зависит от типа данных в Поле с метками времени:
- Если тип данных Dat, то по умолчанию установлено "Дата";
- Если тип данных DatT, то по умолчанию установлено "Дата и время".

Вкладка "Фильтры"

Mon, 01 Jan 0001 00:00:00 +0000

При создании профиля панель фильтров содержит одну предустановленную плашку с фильтром для поля Сущность с условием "Непустое".

Система позволяет установить множественный ввод фильтров:

Нажмите кнопку "Добавить фильтр".
В появившемся блоке параметров выберите столбец таблицы, на который планируется наложить фильтр.
В поле Действие выберите функцию фильтрации:
- больше;
- меньше;
- равно;
- не равно;
- между;
- содержит;
- не содержит;
- начинается с;
- заканчивается на;
- пустое;
- не пустое;
- регулярное выражение.
В поле Значение введите значение фильтра для функции или регулярное выражение (regular expression):
- если выбрано условие "больше", "меньше", "между", то тип данных "число";
- если выбрано условие "равно", "неравно", "содержит", "не содержит", "начинается с", "заканчивается на" или "регулярное выражение", то тип данных любой;
- если выбрано условие "пустое", "непустое", то поле "значение" скрывается.

Вкладка "Расписание"

Mon, 01 Jan 0001 00:00:00 +0000

На вкладке "Расписание" в блоке "Расписание запуска профиля" установите интервал обновления данных.

Переключатель между пунктами:

интервал;
ежедневно;
еженедельно;
ежемесячно;
никогда.

Автоматическая подстановка расписания зависит от периода дискретизации.

Период дискретизации/ Расписание запуска по умолчанию

Интервал

Ежедневно

Еженедельно

Ежемесячно

Никогда

1, 5, 10, 15 минут

каждые 15 минут

1, 3 часа

каждые 3 часа

день

каждый 1 день в ЧЧ:ММ = текущие значения часов и минут

3 дня, неделя

На следующем рисунке представлен пример установленного расписания запуска расчета ежедневно в одно и то же время.

Вкладка "Метки"

Mon, 01 Jan 0001 00:00:00 +0000

На вкладке "Метки" выберите категорию профиля.

Категория профиля – это метка (тег), которая позволяет объединить профили без привязки к категории сущностей для оценки типовых рисков (ИБ, финансовых и др.). Например, в категорию профилей "Выявление компрометации" могут быть объединены профили, отслеживающие количество хостов, на которых применяется учетная запись пользователя (категория сущности "Хост"), типовые IP адреса, с которых выполняется удаленная авторизация пользователя (категория сущности "Пользователь"), типовой перечень объектов, к которым обращается пользователь (категория сущности "Другое") и т.д.

Сохранение нового профиля и запуск расчета

Mon, 01 Jan 0001 00:00:00 +0000

После заполнения всех параметров профиля нажмите кнопку "Сохранить". Выводится модальное окно с текстом "Внимание! Хотите запустить расчет сейчас или по расписанию?".

При выборе "Запустить сейчас" произойдет сохранение профиля и запуск расчета. Страница перейдет в режим редактирования профиля. В списке профилей xBA для нового профиля отобразится оранжевый статус Запущен.

При выборе "Запустить по расписанию" произойдет сохранение профиля, страница перейдет в режим редактирования профиля. Запуск расчета будет выполнен согласно заданному расписанию.

Если в расписании установлено значение "Никогда", система не будет запускать расчет профиля. Это можно сделать принудительно в желаемое время (Профили > выбор профиля > кнопка "Запустить профиль").

Создание профиля и настройка параметров on Dataplan

Вкладка "Общие"

Вкладка "Расчеты"

Вкладка "Визуализация"

Вкладка "Фильтры"

Вкладка "Расписание"

Вкладка "Метки"

Сохранение нового профиля и запуск расчета