› › ›

实体风险评分要求

要使用实体风险评分、资产重要性和实体存储，您的角色必须具有特定的集群、索引和 Kibana 权限。这些功能需要白金订阅或更高版本。

本页介绍了使用实体风险评分、资产重要性和实体存储功能的要求和指南，以及它们已知的限制。

要启用风险评分引擎，您需要以下权限

集群	索引	Kibana
`manage_index_templates` `manage_transform`	对于 `risk-score.risk-score-*` 的 `all` 权限	对于安全功能的读取权限

请遵循这些指南，以确保集群具有足够的内存来处理数据量

使用 2GB 的 Java 虚拟机 (JVM) 堆内存，风险评分引擎可以安全地处理大约 4400 万个文档，或以每分钟 1000 个文档的摄取率处理 30 天的风险数据。
使用 1GB 的 JVM 堆内存，风险评分引擎可以安全地处理大约 2000 万个文档，或以每分钟约 450 个文档的摄取率处理 30 天的风险数据。

风险评分引擎使用内部用户角色来评分所有主机和用户，并且不遵守应用于自定义用户或角色的权限。在为 Kibana 空间启用风险评分引擎后，该空间中的所有警报都将有助于主机和用户的风险评分。

要使用资产重要性，您需要对 .asset-criticality.asset-criticality-<space-id> 索引具有以下权限

要使用实体存储，您需要以下权限

集群	索引	Kibana
`manage_enrich` `manage_index_templates` `manage_ingest_pipelines` `manage_transform`	对于 `.asset-criticality.asset-criticality-` 的 `read` 和 `view_index_metadata` 权限对于 `risk-score.risk-score-` 的 `read` 和 `manage` 权限对于 `.entities.v1.latest.*` 的 `read` 和 `manage` 权限对于所有 Elastic Security 索引的 `read` 和 `view_index_metadata` 权限	对于安全和已保存的对象管理功能的全部权限