实体风险评分先决条件
编辑实体风险评分先决条件编辑
要使用实体风险评分和资产重要性，您的角色必须具有一定的集群、索引和 Kibana 权限。这些功能需要 白金订阅 或更高版本。
本页介绍了使用实体风险评分和资产重要性功能的要求和指南，以及它们的已知限制。
实体风险评分编辑
权限编辑
要启用风险评分引擎，您需要以下权限
| 集群 | 索引 | Kibana |
|---|---|---|
|
|
读取 安全 功能 |
Elasticsearch 资源指南编辑
请遵循以下准则，以确保集群具有足够的内存来处理数据量
- 使用 2GB 的 Java 虚拟机 (JVM) 堆内存，风险评分引擎可以安全地处理大约 4400 万个文档，或者以每分钟 1000 个文档的摄取率处理 30 天的风险数据。
- 使用 1GB 的 JVM 堆，风险评分引擎可以安全地处理大约 2000 万个文档，或者以每分钟约 450 个文档的摄取率处理 30 天的风险数据。
已知限制编辑
- 您只能在一个集群中的单个 Kibana 空间中启用风险评分引擎。
- 风险评分引擎使用内部用户角色对所有主机和用户进行评分，并且不考虑应用于自定义用户或角色的权限。为 Kibana 空间启用风险评分引擎后，空间中的所有警报都将计入主机和用户风险评分。
资产重要性编辑
要使用资产重要性功能，请启用 securitySolution:enableAssetCriticality 高级设置。
权限编辑
要使用资产重要性，您需要对 .asset-criticality.asset-criticality-<space-id> 索引具有以下权限
| 操作 | 索引权限 |
|---|---|
查看资产重要性 |
|
查看、分配或更改资产重要性 |
|
取消分配资产重要性 |
|