Шаг 2. Построение профиля

После определения того, что требуется проанализировать, перейдите непосредственно к построению профиля в интерфейсе Dataplan.

Подробное описание формата построения профиля есть в руководстве пользователя по модулю xBA. Рассмотрим на примере, как задаются настройки профиля.

На рисунках 1, 2 и 3 представлено, как задаются настройки профиля.

В источниках данных, на вкладке "Общие", задайте имя БД и таблицу, где хранятся анализируемые логи.

В параметрах профилирования выберите категорию сущности "Пользователь". В поле "Сущность" выберите столбец, где хранится информация о сущности. В качестве "Функция профилирования" выберите функцию "novelty", которая позволит выявить доступы к новым объектам, к которым ранее не обращались пользователи. В поле "Поле применения функции" выберите столбец, к которому применяется функция и выявляется отклонение.

В параметрах времени в поле "Поле с метками времени" задайте временной столбец с временем наступления события.

Переключитесь на вкладку "Расчеты". В поле "период дискретизации" выберите время, за которое будут рассчитываться действия сущности (интервал в минутах, в часах, днях или неделя) функцией построения профиля. В примере представлен выбор периода дискретизации "день". Но разные анализируемые сущности и их поведение могут требовать задания разных периодов дискретизации. Так, например, если анализировать загрузку процессора или показания датчиков (или еще какие-то события, которые требуют моментальной реакции), то можно выставить период дискретизации "минута" или "час".

В параметрах чувствительности по умолчанию установлено значение отклонения 10 и значение риска 4. Общее правило для задания этих границ следующее: если необходимо улавливать маленькие отклонения в данных, то добавьте низкий уровень и выберите значения поменьше (например, отклонение 4 и риск 1), если требуется видеть меньше отклонений, то выставите значения побольше. Чем выше оценка, тем больше вероятность, что что-то идет не так или что поведение отличается от обычного и может указывать на проблему или угрозу.

В фильтрах данных, на вкладке "Фильтры", добавьте информацию, которую продумали на шаге 1 (нужно убрать системных пользователей, в логах они задаются префиксом "sys_user").

Сохраните введенные настройки. Произойдет запуск расчета профиля.