Màn Overview
Màn Overview dùng để theo dõi nhanh trạng thái UEBA trên toàn hệ thống, bao gồm:
- Số lượng thực thể đang được giám sát (User, Device).
- Tổng số hành vi bất thường (Anomalies) và cảnh báo (Alerts).
- Mức độ rủi ro người dùng theo từng ngữ cảnh thời gian.
Màn hình hỗ trợ lọc theo thời gian bằng Date Picker. Tất cả KPI, biểu đồ và bảng dữ liệu đều cập nhật theo khoảng thời gian đã chọn.
1. Cấu trúc màn hình
Màn hình Overview bao gồm các thành phần chính:
- Tab Overview Đọc chi tiết
- KPI charts Đọc chi tiết
- User risk score tab Đọc chi tiết
- Anomalies tab Đọc chi tiết
- Tab Users Đọc chi tiết
- KPI charts Đọc chi tiết
- Events tab Đọc chi tiết
- All users tab Đọc chi tiết
- Anomalies tab Đọc chi tiết
2. Tab Overview
Tab Overview cung cấp cái nhìn tổng thể về mức độ an toàn của toàn bộ tổ chức trong khoảng thời gian đã lọc.
2.1 KPI charts
Hiển thị 4 thẻ thông tin chiến lược kèm theo tỷ lệ tăng/giảm (%) so với chu kỳ trước đó:
- Total Users: Tổng số người dùng hệ thống ghi nhận và giám sát.
- Total Anomalies: Tổng số hành vi bất thường được phát hiện từ các mô hình học máy (ML) hoặc tập luật (Rules).
- Total Alerts: Tổng số cảnh báo an ninh đã được kích hoạt từ các hành vi bất thường có độ nghiêm trọng cao.
Nên đọc KPI trước để nắm xu hướng chung, sau đó đi sâu vào các bảng phân tích bên dưới.
2.2 User Risk Score tab
Khu vực này gồm:
- Pie chart User by Risk Level: phân bổ tổng số user theo mức rủi ro.
- Top 10 Risky Users: danh sách 10 user có Risk Score cao nhất trong khoảng thời gian đã chọn.
Ý nghĩa các cột trong bảng Top 10 Risky Users:
| Cột | Ý nghĩa |
|---|---|
| User name | Tên người dùng và đơn vị/phòng ban (department) |
| Last updated | Thời điểm gần nhất hệ thống ghi nhận hành vi liên quan đến user |
| User Criticality | Mức độ quan trọng của user: Critical / High / Medium / Low |
| Risk score | TĐiểm số rủi ro tổng hợp của User từ các anomalies |
| Risk level | Mức độ rủi ro suy ra từ Risk Score |
| Alert | Số lượng alert phát sinh từ user |
Thao tác nhanh:
- Chọn trực tiếp một user trong bảng để mở màn hình chi tiết user.
- Chọn View all users để xem toàn bộ danh sách user.
2.3 Anomalies tab
Khu vực này hiển thị danh sách anomaly được hệ thống phát hiện trên toàn bộ user.
| Cột | Ý nghĩa |
|---|---|
| Name | Tên rule hoặc mô hình ML phát hiện anomaly |
| Threat Category | Nhóm mối đe dọa của anomaly |
| Finding counts | Số lần hành vi bất thường được phát hiện |
| Impact unique entities | Số lượng entity riêng biệt bị ảnh hưởng |
| Last detected | Thời điểm gần nhất anomaly được phát hiện |
3. Tab Users
Tab Users phục vụ phân tích theo chiều người dùng, giúp xác định user rủi ro cao và hành vi bất thường liên quan.
3.1 KPI charts
KPI trong tab này thường bao gồm:
- Total Users: Tổng số User được giám sát.
- Total Anomalies: Tổng số Anomalies trên tập User.
- Total Risk Score: Tổng Risk Score của tập User trong khoảng thời gian đã chọn.
3.2 Events tab
Biểu đồ cột thể hiện diễn biến hành vi người dùng theo thời gian. Hiện tại hệ thống tập trung vào nhóm sự kiện đăng nhập, gồm:
- Sign in failure: Quá trình đăng nhập bị hệ thống từ chối. Lý do có thể xuất phát từ việc người dùng nhập sai mật khẩu hoặc do các chính sách ngăn chặn chủ động của hệ thống.
- Sign in not applied: Các phiên đăng nhập không cần áp dụng chính sách hoặc bị bỏ qua do cấu hình đặc thù.
- Sign in success: Quá trình đăng nhập vào hệ thống thành công. Có thể dùng biểu đồ này để so sánh xu hướng tăng/giảm bất thường theo từng mốc thời gian.
3.3 All Users
Hiển thị toàn bộ user trong hệ thống, mặc định ưu tiên theo Risk Score.
Thao tác:
- Chọn một username để mở flyout thông tin nhanh.
- Từ flyout, tiếp tục điều hướng sang màn hình chi tiết user khi cần điều tra sâu.
3.4 Anomalies
Cấu trúc bảng dữ liệu tương tự như mục Anomalies của Tab Overview nhưng chỉ lọc riêng các hành vi bất thường do tài khoản người dùng thực hiện (loại bỏ các bất thường thuần túy từ thiết bị/hệ thống), giúp thu hẹp phạm vi điều tra cho các chuyên viên SOC.