Создание правила корреляции в корреляторе correlator-ng

Вы можете создать корреляционное правило типа periodical только с помощью коррелятора correlator-ng.

При использовании этого коррелятора учитывайте, что он использует строгую типизацию данных, поддерживает регулярные выражения PCRE и автоматически преобразует существующие правила в новый формат при первом запуске. Ошибка при указании типа данных или выражения могут помешать выполнению правила.

Чтобы создать правило корреляции типа periodical:

1. Создайте службу коррелятора в Консоли OSMP.
2. Запустите correlator-ng:

   /opt/kaspersky/kuma/kuma ng correlator --core <URL_Ядра_KUMA> --id <идентификатор_службы_коррелятора> --api.port <API-порт_коррелятора> --wd <рабочая_директория_коррелятора>

   Чтобы просмотреть список всех доступных вариантов, выполните команду:

   /opt/kaspersky/kuma/kuma ng correlator --help

   При первом запуске коррелятор автоматически создает конфигурационные файлы в рабочей директории, в том числе и директорию config.

3. Остановите коррелятор.
4. Перейдите в директорию config и укажите параметры правила корреляции, которое хотите создать, в файле correlation-rules.yaml.

   Описание доступных настроек

   Пример конфигурации правила корреляции типа periodical

   - id: 69df6a1b-262b-48f0-aab4-be15e822fc86 name: Lateral movement detection test kind: periodical selectors: - tag: rule fired filter: null sql: |- ( DeviceEventClassID = '77777' AND DeviceProduct = 'Windows' ) recovery: false threshold: 0 identicalFields: - SourceUserName window: 0 keepPolicy: all orderField: Timestamp actions: onEveryThreshold: output: true loop: false noAlert: true activeLists: null contextTables: null priority: 1 lateralMovementDetection: thresholds: sourceAddress: zScore: 12 relativeScore: 8.5 destinationAddress: zScore: 25 relativeScore: 45 minSamples: 15 detectionPeriod: 60 eventGroupingPeriod: 1 propertyValuesCollectingPeriod: 30 countersCollectingPeriod: 30 retentionPeriod: 60 propertyFieldsMapping: - sourceEventField: DeviceCustomString1 destinationProperty: sourceAddress - sourceEventField: DeviceCustomString2 destinationProperty: destinationAddress

5. Сохраните изменения в файле.
6. Запустите correlator-ng повторно:

   /opt/kaspersky/kuma/kuma ng correlator --core <URL_Ядра_KUMA> --id <идентификатор_службы_коррелятора> --api.port <API-порт_коррелятора> --wd <рабочая_директория_коррелятора>