Màn User Details
Màn User Details cung cấp chi tiết thông tin của 1 User, giúp các chuyên viên SecOps có cái nhìn toàn diện về mức độ rủi ro, lịch sử hoạt động và các mối quan hệ thực thể liên quan đến tài khoản đó.
1. Cấu trúc màn hình
Màn hình User Details bao gồm các thành phần chính:
- Thông tin cá nhân của User (Identity details) Đọc chi tiết
- KPI charts Đọc chi tiết
- Các tab phụ, bao gồm:
- User Risk tab: Phân tích chi tiết các trọng số cấu thành điểm rủi ro. Đọc chi tiết
- Anomalies tab: Danh sách các hành vi bất thường bị hệ thống gắn cờ. Đọc chi tiết
- Events tab: Thống kê và biểu diễn xu hướng các sự kiện đăng nhập. Đọc chi tiết
- Compare Peer Group tab: So sánh hành vi của User với nhóm tương đồng. Đọc chi tiết
- Graph tab: Trực quan hóa bản đồ mối quan hệ giữa User và các thiết bị. Đọc chi tiết
2. Thông tin cá nhân của User (Identity details)
Hiển thị các thông tin định danh và trạng thái an ninh tổng quát của User:
| Cột | Ý nghĩa |
|---|---|
| User ID | ID định danh duy nhất của user trong hệ thống. |
| User name | Tên đầy đủ của User hiển thị trên hệ thống. |
| Địa chỉ email của User. | |
| First seen | Lần đầu tiên hệ thống ghi nhận thời gian hoạt động của User. |
| Last seen | Thời điểm gần nhất hệ thống ghi nhận hành vi liên quan đến User. |
| Job title | Chức danh/Tên vị trí công việc của User. |
| Department | Đơn vị / phòng ban làm việc của User. |
| User criticality | Mức độ quan trọng của User đối với tổ chức (Critical / High / Medium / Low). |
| Risk score | Chart thể hiện điểm số rủi ro của User, được tổng hợp từ các anomalies trước đó |
| Risk level | Mức độ rủi ro tương ứng được suy ra từ Risk score (Ví dụ: High, Medium, Low). |
3. KPI charts
Thể hiện trực quan 2 biểu đồ chỉ số hiệu suất cốt lõi (KPI) của người dùng:
- User risk score: Chart thể hiện điểm số rủi ro của User, được tổng hợp từ các anomalies trước đó|
- Total Anomalies: Biểu đồ thể hiện tổng số lượng sự kiện/hành vi bị hệ thống phát hiện và gắn cờ là Anomaly (Bất thường) kèm theo tỷ lệ tăng/giảm so với chu kỳ trước.
4. Các tab phụ
4.1 User Risk tab
Hiển thị thuật toán và cách phân bổ, cấu thành điểm của Risk Score theo công thức tính toán hệ thống:
| Cột | Ý nghĩa |
|---|---|
| No. | Số thứ tự của các sự kiện cấu thành nên điểm rủi ro. |
| Rule Name | Tên luật / quy tắc phát hiện ra hành vi rủi ro của Anomaly. |
| Threat Category | Danh mục mối đe dọa an ninh (Ví dụ: credential_access, lateral_movement). |
| Weight | Trọng số - thể hiện mức độ nguy hiểm cố định của loại Anomaly đó. |
| Ai | Điểm số tin cậy (Accuracy/Confidence) được tính toán từ mô hình AI/ML. |
| DFi | Hệ số suy giảm theo thời gian (Decay Factor) - Anomaly càng cũ thì điểm càng giảm. |
| Entity Multiplier | Hệ số nhân dựa trên mức độ quan trọng của thực thể (User criticality). |
| Risk score | Điểm số rủi ro riêng lẻ được tính toán cụ thể cho từng Anomaly. |
| % of score | Tỷ lệ phần trăm đóng góp của Anomaly đó trên tổng điểm Risk score của User. |
4.2 Anomalies tab
Hiển thị danh sách toàn bộ các Anomalies phát hiện được của User. Bảng bao gồm các thông tin sau:
| Cột | Ý nghĩa |
|---|---|
| Rule name | Tên luật / quy tắc phát hiện ra Anomaly. |
| Source | Nguồn tạo hoặc cơ chế phát hiện ra Rule, có thể là Rule (Tập luật tĩnh) hoặc ML (Machine Learning). |
| Threat Category | Danh mục mối đe dọa phân loại theo ma trận tấn công. |
| Score | Điểm số rủi ro của riêng anomaly đó. |
| Events | Số lượng các log sự kiện thô (Raw Events) góp phần cấu thành nên anomaly này. |
| Detected at | Thời gian chính xác hệ thống phát hiện ra Anomaly. |
Quy trình xử lý Cảnh báo sai (False Positive):* Nếu Analyst kiểm tra và phát hiện đây là một cảnh báo sai (hành vi hợp lệ của nhân sự), người dùng có thể bấm vào biểu tượng hành động bên phải dòng và chọn "Mark as false positive", sau đó điền thông tin mô tả để giải thích lý do.
Hệ thống sẽ lưu lại cấu hình này và đánh dấu Anomaly này là False Positive.
- Để xem chi tiết: Người dùng click trực tiếp vào dòng Anomaly mong muốn, hệ thống sẽ hiển thị một thanh kéo ra (Flyout) chứa danh sách các Event chi tiết build ra Anomaly đó, kèm theo các mô tả ngữ cảnh đi kèm để phục vụ điều tra sâu.
4.3 Events tab
Biểu đồ cột (Column Chart) thể hiện diễn biến tần suất hành vi của User theo dòng thời gian.
4.4 Compare Peer Group tab
Tính năng hỗ trợ đối chiếu hành vi của một User cụ thể với hành vi trung bình của nhóm tương đồng (Peer Group - các nhân sự cùng phòng ban, cùng vai trò) để tìm ra sự lệch chuẩn.
a. Biểu đồ Radar hành vi (Behavioral Profile)
- Đường màu xanh dương (User): Thể hiện biên độ hành vi của người dùng hiện tại.
- Đường màu xanh lá (Peer Avg): Thể hiện biên độ hành vi trung bình của cả nhóm tương đồng.
- Ý nghĩa: Vùng diện tích màu xanh dương càng lệch hoặc phình to bất thường so với màu xanh lá biểu thị hành vi của người dùng đó càng khác biệt và bất thường so với số đông đồng nghiệp.
b. Chi tiết các chỉ số đối chiếu
| Chỉ số | Ý nghĩa | Cách phân tích dữ liệu |
|---|---|---|
| Avg Login Hour | Giờ đăng nhập trung bình của người dùng so với nhóm. | Giúp phát hiện việc đăng nhập vào khung giờ lạ (vào ca đêm hoặc rạng sáng). |
| Login Hour Spread | Độ lệch chuẩn / Biên độ phân tán của giờ đăng nhập. | Chỉ số càng cao thể hiện thời gian đăng nhập của User rất thất thường, không cố định. |
| Daily session | Số lượng phiên làm việc trung bình mỗi ngày. | Đánh giá tần suất tương tác và làm việc với hệ thống. |
| Login Failure Rate | Tỷ lệ đăng nhập thất bại. | Nếu tỷ lệ của người dùng cao vượt trội so với Peer Avg, đây có thể là dấu hiệu tài khoản đang bị kẻ xấu dò quét mật khẩu. |
| Success Count / Failure Count | Tổng số lần đăng nhập thành công / thất bại. | Số liệu tuyệt đối để đối chiếu cho tỷ lệ phần trăm. |
| IP Diversity | Số lượng địa chỉ IP duy nhất được sử dụng để đăng nhập. | Nếu sử dụng quá nhiều IP khác so với mức trung bình nhóm, có thể User đang dùng VPN trái phép hoặc tài khoản bị chia sẻ cho nhiều người. |
| Location Spread | Số lượng quốc gia ghi nhận việc đăng nhập. | Phát hiện dấu hiệu "Impossible Travel" (Đăng nhập từ nhiều quốc gia cách xa nhau một cách phi lý trong thời gian ngắn). |
| Works on weekend | Trạng thái làm việc vào ngày cuối tuần (Yes / No). | Đánh giá xem người dùng có thói quen truy cập vào hệ thống vào thứ Bảy / Chủ Nhật hay không. |
4.5 Graph tab
Mục tiêu: Cung cấp một bản đồ trực quan hóa mối quan hệ (Topology Map) giữa người dùng (User) và các thực thể liên quan (Entities) như thiết bị máy tính, địa chỉ IP, hoặc tài khoản ứng dụng nhằm hỗ trợ khoanh vùng nhanh phạm vi ảnh hưởng khi xảy ra sự cố.
a. Sơ đồ mạng lưới quan hệ (Relationship Graph)
Trực quan hoá mối quan hệ của của các Entities bằng các nút (Nodes) và mũi tên chỉ hướng:
- User nodes: Hiển thị bằng biểu tượng tài khoản kèm địa chỉ email của User (Gốc điều tra).
- Device nodes: Hiển thị bằng biểu tượng màn hình máy tính kèm tên máy (Hostname).
- Mũi tên liên kết: Chỉ hướng tương tác từ người dùng sang thiết bị chỉ định, giúp nhận diện nhanh phạm vi ảnh hưởng thiết bị nếu tài khoản bị xâm nhập.
b. Danh sách thực thể chi tiết (Related Entities)
Bảng thông tin chi tiết nằm dưới biểu đồ cung cấp các thông số kỹ thuật của thiết bị:
| Trường thông tin | Ý nghĩa |
|---|---|
| User Entity ID | Mã định danh duy nhất của người dùng trong hệ thống UEBA. |
| Device Entity ID | Mã định danh duy nhất của thiết bị được liên kết. |
| Device name | Tên của máy tính/thiết bị (Hostname). |
| OS & OS version | Hệ điều hành và phiên bản cụ thể máy đang chạy (Ví dụ: Windows 10.0.26200). |
| Trust type & Managed | Trạng thái quản lý của thiết bị (Thiết bị thuộc tổ chức - Workplace hay thiết bị cá nhân, có được cài Agent quản lý hay không). |
| Compliant | Trạng thái tuân thủ chính sách an toàn thông tin của thiết bị (Yes/No). |
| Last seen IP / Country | Địa chỉ IP và quốc gia ghi nhận lượt tương tác gần nhất của thiết bị. |
| Last sign in / mapped at | Mốc thời gian đăng nhập cuối cùng và thời điểm hệ thống ghi nhận mối liên kết giữa User và Device. |