If there is a large amount of users with low UCI scores and the cause seems to be something upstream, like a DLP policy that is raising a large amount of violations, then the solution is to tune the upstream policy.
S'il ne s'agit pas d'un problème en amont, mais plutôt d'un problème dans la politique UEBA elle-même - par exemple, une détection d'agent utilisateur inhabituel basée sur le ML qui génère un grand nombre d'alertes -, il y a alors deux possibilités d'action.
-
Si le volume est acceptable mais que l'impact sur l'OPC est important, l'étape suivante recommandée consiste à ajuster le score et la gravité dans une fourchette qui n'entraîne pas un grand nombre d'utilisateurs avec des scores d'OPC faibles.
-
Si le volume et l'impact sur l'OPC sont tous deux inacceptables, la solution restante consiste à désactiver cette politique et à déposer un ticket d'assistance. Il s'agit là d'une mesure rare, car les politiques ont été prédéfinies de manière à ce qu'une organisation moyenne n'ait pas beaucoup d'alertes.