Описание работы с отклонениями в профилях xBA on Dataplan

Шаг 1. Определение того, что предстоит проанализировать в профиле

Mon, 01 Jan 0001 00:00:00 +0000

Предварительный шаг.

На этом шаге определите, поведение кого (чего) требуется анализировать (пользователя, сервера, процесса или чего-то еще), и на каких данных (логах) вы будете анализировать. Также определите, какие действия сущности требуется считать (количество уникальных обращений к чему-либо, время работы, обращения к новым нетипичным ресурсам и др.). В зависимости от того, какие действия будете считать, выберите подходящую функцию для расчета (count, count_distinct, novelty и др.). Подробное описание функций построения профилей xBA содержится в руководстве пользователя по модулю xBA.

Шаг 2. Построение профиля

Mon, 01 Jan 0001 00:00:00 +0000

После определения того, что требуется проанализировать, перейдите непосредственно к построению профиля в интерфейсе Dataplan.

Подробное описание формата построения профиля есть в руководстве пользователя по модулю xBA. Рассмотрим на примере, как задаются настройки профиля.

На рисунках 1, 2 и 3 представлено, как задаются настройки профиля.

В источниках данных, на вкладке "Общие", задайте имя БД и таблицу, где хранятся анализируемые логи.

В параметрах профилирования выберите категорию сущности "Пользователь". В поле "Сущность" выберите столбец, где хранится информация о сущности. В качестве "Функция профилирования" выберите функцию "novelty", которая позволит выявить доступы к новым объектам, к которым ранее не обращались пользователи. В поле "Поле применения функции" выберите столбец, к которому применяется функция и выявляется отклонение.

Шаг 3. Простой анализ отклонений из "топ 10 уровней риска" по результатам расчета профиля

Mon, 01 Jan 0001 00:00:00 +0000

В интерфейсе Dataplan в разделе xBA выберите раздел "Профили", нажмите кнопку "Посмотреть все профили", затем выберите нужный профиль и перейдите в него. В рассматриваемом примере профиль имеет название: "DEMO PACK: БД – Новые объекты доступа в БД". После входа на страницу профиля вы видите следующую картину, представленную на рисунке ниже.

На рисунке содержится следующая информация по расчету профиля:

"Категория сущности" – в данном примере пользователь;
"Количество сущностей" – в данном примере количество пользователей, которые участвовали в расчете профиля;
"Метапрофили" – количество метапрофилей, в которые включен данный профиль;
"Максимальный риск за неделю" – максимальный суммарный риск за прошедшую неделю (момент последнего поступления данных в профиль) среди всех пользователей, которые участвовали в расчете профиля;
"Максимальный риск за последний день" – максимальный суммарный риск за последний день (момент последнего поступления данных в профиль) среди всех пользователей, которые участвовали в расчете профиля.

Шаг 4. Расширенный анализ отклонений по результатам расчета профиля

Mon, 01 Jan 0001 00:00:00 +0000

На первых 3 шагах уже удалось проанализировать самого аномального пользователя. Но часто приходится анализировать много разных сущностей для поиска действительно нетипичного поведения, которое может причинить вред. Поэтому на этом шаге на примере рассмотрим возможность, как можно анализировать гораздо большее количество сущностей, а не только топ-10, но при этом анализировать не все подряд, а выбрать самые рисковые.

Ранее было представлено главное окно профиля "DEMO PACK: БД – Новые объекты доступа в БД" с информацией по топ-10 сущностей с отклонениями и графиком среднего поведения за месяц, а также с точками с максимальными значениями отклонений по дням. Внизу страницы есть оранжевый прямоугольник со стрелкой , который позволяет открыть дополнительное окно для отображения информации по рискам пользователя. Нажав на него, в главном окне профиля дополнительно появляется информация, представленная на рисунке.