Создание правил обогащения событий
Чтобы создать правила обогащения событий:
- Откройте раздел веб-интерфейса KUMA Ресурсы → Правила обогащения и в левой части окна выберите или создайте папку, в которую требуется поместить новое правило.
Отобразится список доступных правил обогащения.
- Нажмите на кнопку Добавить правило обогащения, чтобы создать новое правило.
Откроется окно правила обогащения.
- Укажите параметры правила обогащения:
- В поле Название введите уникальное имя правила. Название должно содержать от 1 до 128 символов в кодировке Unicode.
- В раскрывающемся списке Тенант выберите, к какому тенанту относится этот ресурс.
- В раскрывающемся списке Тип источника выберите cybertrace.
- Укажите URL сервера CyberTrace, к которому вы хотите подключиться. Например, example.domain.com:9999.
- При необходимости укажите в поле Количество подключений максимальное количество подключений к серверу CyberTrace, которые может одновременно установить KUMA. Значение по умолчанию равно количеству vCPU сервера, на котором установлено Ядро KUMA.
- В поле Запросов в секунду введите количество запросов к серверу CyberTrace, которое сможет выполнять KUMA в секунду. Значение по умолчанию:
1000
. - В поле Время ожидания укажите время в секундах, в течение которого KUMA должна ожидать ответа от сервера CyberTrace. Событие не будет отправлено в коррелятор, пока не истечет время ожидания или не будет получен ответ. Если ответ получен до истечения времени ожидания, он добавляется в поле события
TI
, и обработка события продолжается. Значение по умолчанию:30
. - В блоке параметров Сопоставление требуется указать поля событий, которые следует отправить в CyberTrace на проверку, а также задать правила сопоставления полей событий KUMA с типами индикаторов CyberTrace:
- В столбце Поле KUMA выберите поле, значение которого требуется отправить в CyberTrace.
- В столбце Индикатор CyberTrace выберите тип индикатора CyberTrace для каждого выбранного поля:
- ip
- url
- hash
В таблице требуется указать как минимум одну строку. С помощью кнопки Добавить строку можно добавить строку, а с помощью кнопки – удалить.
- С помощью переключателя Отладка укажите, следует ли включить логирование операций сервиса. По умолчанию логирование выключено.
- При необходимости в поле Описание добавьте до 4000 символов в кодировке Unicode.
- В разделе Фильтр можно задать условия определения событий, которые будут обрабатываться с применением правила обогащения. В раскрывающемся списке можно выбрать существующий фильтр или Создать новый фильтр.
- Нажмите Сохранить.
Создано правило обогащения.
Интеграция поиска по индикаторам CyberTrace настроена. Созданное правило обогащения можно добавить к коллектору. Требуется перезапустить коллекторы KUMA, чтобы применить новые параметры.
Если какие-либо из полей CyberTrace в области деталей события содержат "[{
" или "}]
", это означает, что информация из потока данных об угрозах из CyberTrace была обработана некорректно и некоторые данные, возможно, не отображаются. Информацию из потока данных об угрозах можно получить, скопировав из события KUMA значение поля TI indicator событий и выполнив поиск по этому значению на портале CyberTrace в разделе индикаторов. Вся информация будет отображаться в разделе CyberTrace Indicator context.