Работа с данными Датаплан для построения аналитической отчетности on Dataplan

Общая информация

Mon, 01 Jan 0001 00:00:00 +0000

Dataplan является аналитическим инструментом широкого применения, позволяющим профилировать активность пользователей, хостов и других объектов инфраструктуры как с точки зрения ИБ-процессов, так и, например, бизнес-процессов. Глубина применения DP фактически ограничена только глубиной предоставляемого контекста об активности пользователей.

Для наглядности все поступающие данные можно разнести по трем уровням абстракции (см. таблицу ниже):

L0 – необходимый минимум для профилирования пользовательской активности;
L1 – необходимый минимум для профилирования взаимодействия типа "субъект-объект" / "источник-получатель" ("сущность-сущность");
L2 – дополнительный уровень представления об активности пользователя.

Общие рекомендации по подготовке данных для построения аналитической отчетности

Mon, 01 Jan 0001 00:00:00 +0000

Первым и основным требованием-рекомендацией является единое именование объектов контроля (в той или иной ситуации они могут быть как источниками/субъектами, так и получателями/объектами). Например, для пользователей это может быть логин в системе, samaccountname (для Windows) или какой-то uid, а для хостов – fqdn имя или просто имя хоста (IP адреса так же можно использовать, но в тех случаях, когда адресация фиксированная, при динамической результаты анализа будут искажены).

При анализе данных из одного источника – эта рекомендация не актуальна, но при анализе из нескольких – лучше ее выполнить.