Поддерживаемые типы данных correlator-ng

В текущей версии Kaspersky EDR Expert представлена бета-версия correlator-ng, которая предназначена для ознакомления. До выхода полнофункциональной версии коррелятора API методы, алгоритмы, синтаксис условий и другие функции и характеристики могут быть изменены.

В корреляторе correlator-ng реализована более строгая модель данных по сравнению со стандартной версией коррелятора. Это влияет на правила корреляции, работу селекторов и функции обработки событий. Каждое поле события, переменной или селектора теперь имеет заранее определенный тип. Автоматическое приведение типов применяется только для совместимых типов, в остальных случаях используется приведение через функции to_string, to_integer, to_float.

Поддерживаются следующие типы данных

Поддерживаемые типы данных

Более строгая типизация повышает эффективность работы коррелятора и уменьшает ошибки при компиляции правил корреляции. При этом все операции с массивами, строками и временными метками должны учитывать тип данных, иначе возможны ошибки выполнения.