Создание правил агрегации
Правила агрегации помогают вам объединять повторяющиеся события других решений "Лаборатории Касперского" в алерты Open Single Management Platform.
Чтобы создать правила агрегации, вам нужно иметь одну из следующих EDR-ролей: Главный администратор, Администратор тенанта, Администратор SOC.
Чтобы создать правило агрегации:
- В главном окне приложения перейдите в раздел Мониторинг → Ресурсы и сервисы → Агрегация алертов.
Откроется таблица правил агрегации.
- Нажмите на кнопку Создать.
Откроется окно Создать правило агрегации.
- В поле Статус активируйте правило агрегации, которое вы хотите создать.
По умолчанию правило выключено.
- В поле Тенант-владелец укажите тенант, которому будет принадлежать правило агрегации.
- В поле Имя укажите название правила агрегации.
Имя правила должно быть уникальным.
- В поле Максимум событий в алерте укажите максимальное количество событий, объединенных в алерте.
Значение должно быть от 1 до 100. Значение по умолчанию – 100.
- В поле Интервал агрегации укажите интервал поиска в минутах или секундах.
Максимальное значение – 1500 секунд. Значение по умолчанию – 30.
- При необходимости в поле Унаследовано измените параметры наследования.
По умолчанию правила наследуются от родительского тенанта всеми дочерними тенантами по иерархии. Вы можете выключить наследование, выбрав Только текущий тенант или указать тенанты, которые должны наследовать правило, нажав Заданные тенанты, а затем выбрав тенанты из раскрывающегося списка.
Вы можете указать только тенантов, для которых вам назначена одна из следующих ролей XDR: Главный администратор, администратор тенанта или администратор SOC.
Изменение параметров наследования или приоритета правил, а также дублирование или удаление унаследованных правил возможно только из родительского тенанта. Статус унаследованного правила может быть изменен как из родительского, так и из дочернего тенанта.В дочернем тенанте приоритет унаследованных правил всегда выше, чем приоритет правил, созданных в дочернем тенанте. Также в унаследованных правилах порядок приоритета такой же как и в родительском тенанте. При дублировании унаследованного правила его область действия также дублируется. При копировании унаследованного правила на другой тенант область действия правила не копируется.
- В разделе Название алерта укажите выражение jq, определяющее шаблон, который будет использоваться при создании имени нового алерта. Это выражение также используется для объединения событий в алерт.
По умолчанию указано следующее выражение:
([.Rules[]?.Name // empty] | sort | join(","))При создании нового алерта название генерируется из значений полей указанных в шаблоне.
При необходимости вы можете скопировать выражение jq для раздела Название алерта из другого правила агрегации. Для этого нажмите на кнопку Копировать из другого правила.
- В разделе Триггер укажите выражение jq, которое определяет условие для создания алерта из события.
При необходимости вы можете скопировать выражение jq для раздела Триггер из другого правила агрегации. Для этого нажмите на кнопку Копировать из другого правила.
- При необходимости в поле Описание укажите описание правила агрегации.
- Нажмите на кнопку Создать.
Правило агрегации создано.
По умолчанию правило агрегации создается с наименьшим приоритетом. Чтобы изменить приоритет правила агрегации, в таблице правил агрегации перетащите правило, нажав на его имя. Чем выше находится правило в таблице правил агрегации, тем выше его приоритет.
