实体风险评分

Elastic Stack 无服务器安全

实体风险评分是一项高级 Elastic Security 分析功能，可帮助安全分析师检测实体风险态势的变化、搜寻新威胁并确定事件响应的优先级。

实体风险评分使您可以监视环境中主机、用户和服务的风险评分变化。 生成高级评分分析时，风险评分引擎会利用来自其端到端 XDR 用例（例如 SIEM、云和端点）的威胁。 它利用 Elastic SIEM 检测引擎从过去 30 天生成主机、用户和服务风险评分。

它还会按周期性间隔生成风险评分，并允许轻松加入和管理。 该引擎旨在考虑来自所有 Elastic Security 用例的风险，并允许您自定义和控制风险的计算方式和时间。

实体风险评分由以下风险输入确定

生成的实体风险评分存储在 risk-score.risk-score-<space-id> 数据流别名中，每个实体的最新评分存储在 risk-score.risk-score-latest-<space-id> 中。

1. 风险评分引擎每小时运行一次，以聚合过去 30 天的“打开”和“已确认”警报。 对于每个实体，该引擎最多处理 10,000 个警报。

   注意

   当打开风险引擎时，您还可以选择在风险评分计算中包含“已关闭”警报。

2. 该引擎按 host.name、user.name 或 service.name 对警报进行分组，并聚合各个警报风险评分 (kibana.alert.risk_score)，以便具有较高风险评分的警报比具有较低风险评分的警报贡献更大。 生成的聚合风险评分将分配给实体风险摘要中的 警报 类别。

3. 然后，该引擎验证实体的 资产重要性级别。 如果未分配资产重要性，则实体风险评分保持等于来自 警报 类别的聚合评分。 如果分配了重要性级别，则该引擎会根据每个重要性级别的默认风险权重计算风险评分。 资产重要性风险输入将分配给实体风险摘要中的 资产重要性 类别。

   资产重要性级别	默认风险权重
   低影响	0.5
   中等影响	1
   高影响	1.5
   极端影响	2

   注意

   资产重要性级别和默认风险权重可能会发生变化。

4. 根据这两个风险输入，风险评分引擎会生成 0-100 的单个实体风险评分。 它通过将风险评分映射到以下级别之一来分配风险级别

   风险级别	风险评分
   未知	< 20
   低	20-40
   中等	40-70
   高	70-90
   危急	> 90

风险评分每小时根据配置的日期和时间范围进行更新，默认设置为 30 天。 每次更新都会生成一个新的评分，该评分的计算独立于任何先前的评分。

了解如何打开风险评分引擎。