Активные листы

Активный лист – это контейнер для данных, которые используются корреляторами KUMA при анализе событий по правилам корреляции.

Например, если у вас есть список IP-адресов с плохой репутацией, вы можете:

1. Создать корреляционное правило типа operational и добавить в активный лист эти IP-адреса.
2. Создать корреляционное правило типа standard и указать активный лист в качестве условия фильтрации.
3. Создать коррелятор с этим правилом.

   В этом случае KUMA выберет все события, которые содержат IP-адреса, внесенные в активный лист, и создаст корреляционное событие.

Вы можете наполнять активные листы автоматически с помощью корреляционных правил типа simple или импортировать файл с данными для активного листа.

Вы можете добавлять, копировать и удалять активные листы.

Активные листы можно использовать в следующих сервисах и функциях KUMA:

• Правила корреляции.
• Панель мониторинга.

Один и тот же активный лист может использоваться в разных корреляторах. При этом для каждого коррелятора создается своя сущность активного листа. Таким образом, содержимое активных листов, используемых разными корреляторами, различается, даже если идентификатор и название активных листов одинаковые.

В активный лист добавляются данные только по правилам корреляции, добавленным в коррелятор.

Вы можете добавлять, изменять, дублировать, удалять и экспортировать записи в активном листе коррелятора.

В процессе корреляции при удалении записей из активных листов в корреляторах создаются служебные события. Эти события существуют только в корреляторах, они не перенаправляются в другие точки назначения. Правила корреляции можно настроить на отслеживание этих событий, чтобы с их помощью распознавать угрозы. Поля служебных событий удаления записи из активного листа описаны ниже.

Просмотр таблицы активных листов

Чтобы просмотреть таблицу активных листов коррелятора:

1. В веб-интерфейсе KUMA выберите раздел Ресурсы.
2. В разделе Сервисы нажмите на кнопку Активные сервисы.
3. Установите флажок напротив коррелятора, для которого вы хотите просмотреть активный лист.
4. Нажмите на кнопку Смотреть активные листы.

Отобразится таблица Активные листы коррелятора.

Таблица содержит следующие данные:

• Название – имя активного листа.
• Записи – количество записей в активном листе.
• Размер на диске – размер активного листа.
• Каталог – путь к активному листу на сервере коррелятора KUMA.

Добавление активного листа

Чтобы добавить активный лист:

1. В веб-интерфейсе KUMA выберите раздел Ресурсы.
2. В разделе Ресурсы нажмите на кнопку Активные листы.
3. Нажмите на кнопку Добавить активный лист.
4. Выполните следующие действия:
   1. В поле Название введите имя активного листа.
   2. В раскрывающемся списке Тенант выберите тенант, которому принадлежит ресурс.
   3. В поле Срок жизни укажите время, в течение которого в активном листе будет храниться добавленная в него запись.

      По истечении указанного времени запись удаляется. Время указывается в секундах.

      Значение по умолчанию: 0. Если в поле указано значение 0, запись хранится 36000 дней (около 100 лет).

   4. В поле Описание введите любую дополнительную информацию.

      Вы можете использовать до 4000 символов в кодировке Unicode.

      Поле необязательно для заполнения.

5. Нажмите на кнопку Сохранить.

Активный лист будет добавлен.

Просмотр параметров активного листа

Чтобы просмотреть параметры активного листа:

1. В веб-интерфейсе KUMA выберите раздел Ресурсы.
2. В разделе Ресурсы нажмите на кнопку Активные листы.
3. В столбце Название выберите активный лист, параметры которого вы хотите просмотреть.

Откроется окно с параметрами активного листа. В нем отображается следующая информация:

• Идентификатор – идентификатор активного листа.
• Название – уникальное имя ресурса.
• Тенант – название тенанта, которому принадлежит ресурс.
• Срок жизни – время, в течение которого в активном листе будет храниться добавленная в него запись. Указывается в секундах.
• Описание – любая дополнительная информация о ресурсе.

Изменение параметров активного листа

Чтобы изменить параметры активного листа:

1. В веб-интерфейсе KUMA выберите раздел Ресурсы.
2. В разделе Ресурсы нажмите на кнопку Активные листы.
3. В столбце Название выберите активный лист, параметры которого вы хотите изменить.
4. Укажите значения для следующих параметров:
   • Название – уникальное имя ресурса.
   • Срок жизни – время, в течение которого в активном листе будет храниться добавленная в него запись. Указывается в секундах.

     Если в поле указано значение 0, запись хранится бессрочно.

   • Описание – любая дополнительная информация о ресурсе.

   Поля Идентификатор и Тенант недоступны для редактирования.

Дублирование параметров активного листа

Чтобы скопировать активный лист:

1. В веб-интерфейсе KUMA выберите раздел Ресурсы.
2. В разделе Ресурсы нажмите на кнопку Активные листы.
3. Установите флажок рядом с активным листом, который вы хотите скопировать.
4. Нажмите на кнопку Дублировать.
5. Укажите нужные вам параметры.
6. Нажмите на кнопку Сохранить.

Активный лист будет скопирован.

Удаление активного листа

Чтобы удалить активный лист:

1. В веб-интерфейсе KUMA выберите раздел Ресурсы.
2. В разделе Ресурсы нажмите на кнопку Активные листы.
3. Установите флажки рядом с активными листами, которые вы хотите удалить.

   Если вы хотите удалить все листы, установите флажок рядом со столбцом Название.

   Должен быть установлен хотя бы один флажок.

4. Нажмите на кнопку Удалить.
5. Нажмите на кнопку Ок.

Активные листы будут удалены.

Просмотр записей в активном листе

Чтобы просмотреть список записей в активном листе:

1. В веб-интерфейсе KUMA выберите раздел Ресурсы.
2. В разделе Сервисы нажмите на кнопку Активные сервисы.
3. Установите флажок напротив коррелятора, для которого вы хотите просмотреть активный лист.
4. Нажмите на кнопку Смотреть активные листы.

   Отобразится таблица Активные листы коррелятора.

5. В столбце Название выберите нужный вам активный лист.

Откроется таблица записей для выбранного листа.

Таблица содержит следующие данные:

• Ключ – значение ключа записи.
• Повторы записи – общее количество упоминаний записи в событиях и загрузок идентичных записей при импорте активных листов в KUMA.
• Срок действия – дата и время, когда запись должна быть удалена.

  Если при создании активного листа в поле Срок жизни было указано значение 0, записи этого активного листа хранятся 36000 дней (около 100 лет).

• Создано – время создания активного листа.
• Последнее обновление – время последнего обновления активного листа.

Поиск записей в активном листе

Чтобы найти запись в активном листе:

1. В веб-интерфейсе KUMA выберите раздел Ресурсы.
2. В разделе Сервисы нажмите на кнопку Активные сервисы.
3. Установите флажок напротив коррелятора, для которого вы хотите просмотреть активный лист.
4. Нажмите на кнопку Смотреть активные листы.

   Отобразится таблица Активные листы коррелятора.

5. В столбце Название выберите нужный вам активный лист.

   Откроется окно со списком записей для выбранного листа.

6. В поле Поиск введите значение ключа записи или несколько знаков из ее ключа.

В таблице записей активного листа отобразятся только те записи, в ключе которых есть введенные символы.

Добавление записи в активный лист

Чтобы добавить запись в активный лист:

1. В веб-интерфейсе KUMA выберите раздел Ресурсы.
2. В разделе Сервисы нажмите на кнопку Активные сервисы.
3. Установите флажок напротив нужного коррелятора.
4. Нажмите на кнопку Смотреть активные листы.

   Отобразится таблица Активные листы коррелятора.

5. В столбце Название выберите нужный вам активный лист.

   Откроется окно со списком записей для выбранного листа.

6. Нажмите на кнопку Добавить.

   Откроется окно Создать новую запись.

7. Укажите значения для следующих параметров:
   1. В поле Ключ введите имя записи.

      Вы можете указать несколько значений, используя символ "|".

      Поле Ключ не может быть пустым. Если поле остается пустым, при попытке сохранить изменения KUMA возвращает ошибку.

   2. В поле Значение укажите значение для полей в столбце Поле.

      KUMA берет названия полей из корреляционных правил, к которым привязан активный лист. Эти названия недоступны для редактирования. Вы можете удалить эти поля при необходимости.

   3. Если вы хотите добавить дополнительное значение, нажмите на кнопку Добавить элемент.
   4. В столбце Поле укажите название поля.

      Название должно соответствовать следующим требованиям:

      • название уникально;
      • не содержит табуляцию;
      • не содержит специальные символы, кроме символа нижнего подчеркивания;
      • максимальное количество символов – 128.

        Название не может начинаться с символа нижнего подчеркивания и содержать только цифры.

   5. В столбце Значение укажите значение для этого поля.

      Оно должно соответствовать следующим требованиям:

      • не содержит табуляцию;
      • не содержит специальные символы, кроме символа нижнего подчеркивания;
      • максимальное количество символов – 1024.

      Поле необязательно для заполнения.

8. Нажмите на кнопку Сохранить.

Запись будет добавлена. После сохранения записи в активном листе будут отсортированы в алфавитном порядке.

Дублирование записей в активном листе

Чтобы дублировать запись в активном листе:

1. В веб-интерфейсе KUMA выберите раздел Ресурсы.
2. В разделе Сервисы нажмите на кнопку Активные сервисы.
3. Установите флажок напротив коррелятора, для которого вы хотите просмотреть активный лист.
4. Нажмите на кнопку Смотреть активные листы.

   Отобразится таблица Активные листы коррелятора.

5. В столбце Название выберите нужный вам активный лист.

   Откроется окно со списком записей для выбранного листа.

6. Установите флажок для записи, которую вы хотите скопировать.
7. Нажмите на кнопку Дублировать.
8. Укажите нужные вам параметры.

   Поле Ключ не может быть пустым. Если поле остается пустым, при попытке сохранить изменения KUMA возвращает ошибку.

   Редактирование названий полей в столбце Поле для записей, добавленных в активный лист ранее, недоступно. Вы можете менять названия только для записей, добавленных в момент редактирования. Название не может начинаться с символа нижнего подчеркивания и содержать только цифры.

9. Нажмите на кнопку Сохранить.

Запись будет скопирована. После сохранения записи в активном листе будут отсортированы в алфавитном порядке.

Изменение записи в активном листе

Чтобы изменить запись в активном листе:

1. В веб-интерфейсе KUMA выберите раздел Ресурсы.
2. В разделе Сервисы нажмите на кнопку Активные сервисы.
3. Установите флажок напротив коррелятора, для которого вы хотите просмотреть активный лист.
4. Нажмите на кнопку Смотреть активные листы.

   Отобразится таблица Активные листы коррелятора.

5. В столбце Название выберите нужный вам активный лист.

   Откроется окно со списком записей для выбранного листа.

6. Нажмите на название записи в столбце Ключ.
7. Укажите требуемые значения.
8. Нажмите на кнопку Сохранить.

Запись будет изменена. После сохранения записи в активном листе будут выстроены в алфавитном порядке.

Ограничения, действующие при редактировании записи:

• Название записи недоступно для редактирования. Вы можете изменить его, выполнив импорт аналогичных данных с другим названием.
• Редактирование названий полей в столбце Поле для записей, добавленных в активный лист ранее, недоступно. Вы можете менять названия только для записей, добавленных в момент редактирования. Название не может начинаться с символа нижнего подчеркивания и содержать только цифры.
• Значения в столбце Значение должны соответствовать следующим требованиям:
  • не содержит буквы русского алфавита;
  • не содержит пробелы и табуляцию;
  • не содержит специальные символы, кроме символа нижнего подчеркивания;
  • максимальное количество символов – 128.

Удаление записей в активном листе

Чтобы удалить записи из активного листа:

1. В веб-интерфейсе KUMA выберите раздел Ресурсы.
2. В разделе Сервисы нажмите на кнопку Активные сервисы.
3. Установите флажок напротив коррелятора, для которого вы хотите просмотреть активный лист.
4. Нажмите на кнопку Смотреть активные листы.

   Отобразится таблица Активные листы коррелятора.

5. В столбце Название выберите нужный вам активный лист.

   Откроется окно со списком записей для выбранного листа.

6. Установите флажки для записей, которые вы хотите удалить.

   Если вы хотите удалить все записи, установите флажок рядом с названием столбца Ключ.

   Должен быть установлен хотя бы один флажок.

7. Нажмите на кнопку Удалить.
8. Нажмите на кнопку Ок.

Записи будут удалены.

Импорт данных в активный лист

Чтобы импортировать данные в активный лист:

1. В веб-интерфейсе KUMA выберите раздел Ресурсы.
2. В разделе Сервисы нажмите на кнопку Активные сервисы.
3. Установите флажок напротив коррелятора, для которого вы хотите просмотреть активный лист.
4. Нажмите на кнопку Смотреть активные листы.

   Отобразится таблица Активные листы коррелятора.

5. Наведите курсор мыши на строку с требуемым активным листом.
6. Нажмите на слева от названия активного листа.
7. Выберите Импортировать.

   Откроется окно импорта активного листа.

8. В поле Файл выберите файл, который требуется импортировать.
9. В раскрывающемся списке Формат выберите формат файла:
   • csv.
   • tsv.
   • internal.
10. В поле Ключевое поле введите название столбца с ключами записей активного листа.
11. Нажмите на кнопку Импортировать.

Данные из файла будут импортированы в активный лист. Записи, внесенные в лист ранее, сохраняются.

При импорте данные из файла не проходят проверку на допустимые символы. Если вы будете использовать эти данные в виджетах, при наличии недопустимых символов в данных виджеты будут отображаться некорректно.

Экспорт данных из активного листа

Чтобы экспортировать активный лист:

1. В веб-интерфейсе KUMA выберите раздел Ресурсы.
2. В разделе Сервисы нажмите на кнопку Активные сервисы.
3. Установите флажок напротив коррелятора, для которого вы хотите просмотреть активный лист.
4. Нажмите на кнопку Смотреть активные листы.

   Отобразится таблица Активные листы коррелятора.

5. Наведите курсор мыши на строку с требуемым активным листом.
6. Нажмите на слева от нужного активного листа.
7. Нажмите на кнопку Экспортировать.

Активный лист будет загружен в формате JSON с использованием настроек вашего браузера. Название загруженного файла соответствует названию активного листа.

Предустановленные активные листы

В поставку KUMA включены перечисленные в таблице ниже активные листы.

Предустановленные активные листы