Проверка правильности установки коррелятора
Проверить готовность коррелятора к получению событий можно следующим образом:
- В OSMP перейдите в раздел Ресурсы и сервисы → Активные сервисы.
- Убедитесь, что у установленного вами коррелятора зеленый статус.
Если в коррелятор поступают события, удовлетворяющие условиям фильтра правил корреляции, на вкладке событий будут отображаться события с параметрами DeviceVendor=Kaspersky и DeviceProduct=KUMA. Название сработавшего правила корреляции будет отображаться как название этих корреляционных событий.
Если корреляционные события не найдены
Можно создать более простую версию правила корреляции, чтобы найти возможные ошибки. Используйте правило корреляции типа simple и одно действие Отправить событие на дальнейшую обработку. Рекомендуется создать фильтр для поиска событий, которые OSMP получает регулярно.
При обновлении, добавлении или удалении правила корреляции необходимо обновить конфигурацию коррелятора.
Когда вы закончите тестирование правил корреляции, необходимо удалить все тестовые и временные правила корреляции из OSMP и обновить параметры коррелятора.
