Подготовка правила Sigma

Чтобы конвертировать правило Sigma в правило KUMA:

  1. Перед доработкой правила убедитесь, что соблюдены следующие требования:
    • Поскольку в предустановленных нормализаторах используется обогащение событий to lower case для полей, содержащих имена пользователей, имена хостов, имена процессов, мы рекомендуем в исходном правиле Sigma приводить соответствующие поля к нижнему регистру.
    • Мы не рекомендуем в условиях contains и подобных условиях писать комментарии или дополнительную информацию. В случае необходимости оставить комментарий мы рекомендуем использовать символ #, тогда комментарий не окажет влияния на условие.
    • Правило должно начинаться со слова title, дефисов перед ним не должно быть.
  2. Скопируйте из веб-интерфейса KUMA правило корреляции, которое вы хотите доработать, на вкладку конвертера rule. Выберите в раскрывающихся списках нужные параметры. При необходимости исправьте ошибки.
  3. В конвертере правил Sigma в поле Backend выберите kuma, в поле Format выберите default, поле Pipeline оставьте пустым.

    Доступны следующие значения:

    • Backend: kuma, Format: default - готовый для запуска SQL-запрос без форматирования.
    • Backend: kuma, format: SQL_formatted - готовый для запуска SQL запрос c форматированием.
    • Backend: kuma_filter, Format: default - готовый селектор для правила корреляции.
    • Backend: kuma_filter, Format: correlation - готовое для импорта правило корреляции в формате JSON. Для импорта вы можете использовать метод REST API /api/v2.1/resources/correlationRule/create с указанием tenantID и имени тенанта для импорта.
  4. Перейдите на вкладку pipline.yaml и скопируйте на эту вкладку "Пример словаря, адаптированный под pySigma".

    На вкладке query отобразится конвертированное правило. В результате конвертации вы получите условие WHERE для SQL-запроса.

Вы можете скопировать готовый результат в KUMA, если это запрос или фильтр. Если вы хотите использовать в KUMA правило, можно импортировать в KUMA по одному правилу.

В начало