Política de detección y mitigación
Configure cómo detecta DataDike PAM el comportamiento anómalo de los usuarios y qué hace automáticamente cuando la puntuación de riesgo cruza un umbral.
Qué es esto y cuándo usarlo
El módulo de análisis de comportamiento construye una línea base de cómo trabaja normalmente cada usuario (cuándo se conecta, desde dónde, a qué activos) y puntúa cualquier desviación respecto de ella. La política es donde usted decide dos cosas distintas: cuán sensible es la detección y qué hace la solución por su cuenta cuando una puntuación cruza un límite que usted fija.
Configúrela cuando despliegue el análisis de comportamiento por primera vez, y revísela cuando el volumen de anomalías resulte demasiado ruidoso para revisarlo o demasiado silencioso para ser útil.
Detección y mitigación son independientes. Puede ejecutar solo la detección: la solución registra la anomalía y lanza una alerta, y una persona decide qué hacer. La mitigación automática es lo que le permite actuar sin esperar a esa persona.
Antes de empezar
El perfil SYSADMIN. La política no es visible para otros perfiles.
Al menos una ventana de referencia de historial de sesiones. En una instalación nueva las puntuaciones no son fiables hasta que los usuarios hayan trabajado durante una ventana completa.
Si piensa habilitar la rotación automática de credenciales, debe existir ya al menos una tarea de rotación de credenciales, y estar activa. La política es el disparador; la tarea es lo que realmente rota. Consulte Rotar credenciales.
Pasos
Abra Políticas › UEBA.
Active la Detección habilitada. Nada se puntúa mientras esté apagada.
Fije la Ventana del baseline (días) en el periodo que la solución debe tratar como comportamiento normal. Treinta días cubren un ciclo mensual de trabajo; las ventanas más cortas reaccionan antes, pero marcan más falsos positivos.
Fije Fuera de horario (inicio → fin) con las horas fuera de las cuales el acceso es inusual en su organización. El rango cruza la medianoche, de modo que
18 → 8significa desde las seis de la tarde hasta las ocho de la mañana siguiente.Fije el Umbral de inicios de sesión fallidos en el número de inicios de sesión fallidos en veinticuatro horas que debe tratarse como una ráfaga.
Decida si la solución debe actuar por su cuenta. Si debe hacerlo, active la Mitigación automática. Déjela apagada para operar en modo de solo alerta.
Con la mitigación automática activada, fije cada acción y su umbral:
Umbral de score para terminar sesión: la puntuación a partir de la cual se termina una sesión en curso.
Rotación automática de credenciales y Umbral de rotación de credenciales: la puntuación a partir de la cual se rota todo secreto definido en las tareas de rotación.
Revocar credenciales automáticamente: revoca las credenciales vinculadas al usuario o a la sesión.
Haga clic en Guardar.
Lo que debe ver
Los contadores de la parte superior de la pantalla (Abiertas, Alto riesgo y Total) reflejan anomalías ya registradas. No cambian al guardar la política; cambian en la siguiente ejecución del análisis.
Cómo verificar que funcionó
Guardar la política no prueba que esté en vigor. Verifíquelo contra una anomalía real:
Haga clic en Analizar ahora y espere a que termine la ejecución.
Abra Auditoría › UEBA.
Abra cualquier anomalía y lea el campo Mitigación.
El campo indica qué acción se aplicó y por qué. Con la mitigación automática apagada dice Alert only — auto-mitigation disabled. Con ella activada, el campo nombra la acción que tomó la solución, y una sesión terminada por la política aparece además como cerrada en Sesiones › En línea.
Si el campo Mitigación sigue mostrando el comportamiento anterior, la política no se guardó: vuelva a abrir la pantalla y confirme que los valores persistieron.
Errores comunes
Ninguna anomalía tras Analizar ahora
Hay menos historial que la ventana de referencia
Espere a una ventana completa, o acorte la ventana temporalmente
Todo se marca como anomalía
La línea base se construyó en un periodo atípico, como una migración
Alargue la ventana de referencia y vuelva a ejecutar el análisis
Las sesiones no se terminan aunque se alcance el umbral
La Mitigación automática está apagada; la acción individual no hace nada por sí sola
Active la Mitigación automática
Un valor se rechaza al escribirlo
El campo está fuera de su rango aceptado
Vea el rango en la referencia de campos de abajo
Referencia de campos
Detección habilitada
Interruptor maestro de la puntuación. Nada se analiza mientras esté apagado
Activado, Desactivado
Activado
Mitigación automática
Interruptor maestro de toda acción automática. Mientras esté apagado, la solución solo registra y alerta
Activado, Desactivado
Desactivado
Solicitar reautenticación
Reta al usuario a autenticarse de nuevo
Activado, Desactivado
Desactivado
Rotación automática de credenciales
Rota todo secreto definido en las tareas de rotación
Activado, Desactivado
Desactivado
Revocar credenciales automáticamente
Revoca las credenciales vinculadas al usuario o a la sesión
Activado, Desactivado
Desactivado
Ventana del baseline (días)
Periodo tratado como comportamiento normal
De 7 a 180
30
Fuera de horario (inicio → fin)
Rango horario tratado como fuera de la jornada. Cruza la medianoche
De 0 a 23, cada uno
18 → 8
Umbral de inicios de sesión fallidos
Inicios de sesión fallidos en 24 h que cuentan como una ráfaga
De 3 a 50
5
Umbral de score para terminar sesión
Puntuación a partir de la cual se termina una sesión
De 50 a 100
80
Umbral de rotación de credenciales
Puntuación a partir de la cual se rotan las credenciales
De 50 a 100
90
Páginas relacionadas
Puntuación de riesgo: cómo se calcula la puntuación y qué significa cada banda
Rotar credenciales: la tarea que ejecuta la rotación
Registro de auditoría: dónde se registran las acciones de mitigación
Monitorización en vivo: terminar una sesión a mano
Atualizado
Isto foi útil?