Ретроскан

В обычном режиме коррелятор работает только с событиями, поступающими от коллекторов в реальном времени. Ретроспективное сканирование позволяет применить правила корреляции к произошедшим ранее событиям, если вы хотите отладить правила корреляции или проанализировать данные.

Чтобы проверить работу правила корреляции, не обязательно воспроизводить инцидент в реальном времени. Вы можете запускать правило корреляции в режиме Ретроспективное сканирование для существующих событий, среди которых есть нужный инцидент.

С помощью поискового запроса вы можете определить список событий, для которых будет выполнено ретроспективное сканирование, задать период поиска и указать хранилище, в котором нужно искать события. Можно настроить задачу таким образом, чтобы во время ретроспективного сканирования событий создавались алерты и применялись правила реагирования.

Чтобы включить ретроспективное сканирование:

1. В разделе Мониторинг → Поиск угроз веб-интерфейса решения получите необходимую выборку событий:
   • Выберите хранилище.

     Перед запуском ретроспективного сканирования убедитесь, что выбраны нужные кластеры и пространства.

   • Настройте поисковое выражение с помощью конструктора или поискового запроса.

     Перед запуском ретроспективного сканирования убедитесь, что в поле SQL-запроса указано нужное выражение.

   • Задайте необходимый период.

     Перед запуском ретроспективного сканирования убедитесь, что в поле периода выбран нужный период.

2. В раскрывающемся списке выберите Ретроспективное сканирование.

   Откроется окно ретроспективного сканирования.

3. В раскрывающемся списке Коррелятор выберите сервис коррелятора, в который будут загружены выбранные события.

   Перед запуском ретроспективного сканирования проверьте количество событий, найденных при выполнении SQL-запроса. Эта информация отображается в блоке Показать временную шкалу → Всего:. Если в SQL-запросе не указано значение параметра LIMIT, в коррелятор отправляются все события за период и длительность выполнения задачи возрастает. Если в периоде установлен относительный период (например, now-1h), при запуске ретроспективного сканирования могут появится новые события, которые также будут отправлены в коррелятор. Если коррелятор установлен не в основных тенантах (Main, RootTenant), в него могут отправляться события только того тенанта, где он установлен.

4. В раскрывающемся списке Правила корреляции выберите правила корреляции, с помощью которых нужно обработать выбранные события. Если на этом шаге не выбрано ни одного правила, сканирование будет выполнено с применением всех правил корреляции.
5. В поле EPS лимит укажите максимальное количество EPS, которое используется при выполнении ретроспективного сканирования. Указанное значение определяет максимальную нагрузку при проведении ретроспективного сканирования. По умолчанию указано значение 0, то есть ограничения по EPS для ретроспективного сканирования отсутствуют.

   Для указания максимального количества EPS, которое используется при выполнении ретроспективного сканирования, не допускается использование отрицательных значений.

6. Если вы хотите, чтобы в процессе обработки событий срабатывали правила реагирования, включите переключатель Выполнить правила реагирования.
7. Если вы хотите, чтобы в процессе обработки событий создавались алерты, включите переключатель Создать алерты.
8. Нажмите на кнопку Создать задачу.

Задача ретроспективного сканирования создана и отображается в разделе Диспетчер задач.

Чтобы просмотреть результаты сканирования, в разделе Диспетчер задач веб-интерфейса KUMA нажмите на созданную вами задачу и в раскрывающемся списке выберите Перейти к событиям.

Результаты ретроспективного сканирования отображают только сформированные корреляционные события.
Начало периода в результатах ретроспективного сканирования отображается как <дата и время создания задачи>, окончание периода – <дата и время создания задачи + один час> (или текущее время, если один час с момента создания задачи еще не истек).
Если в результатах ретроспективного сканирования нет событий, значит в корреляторе не было срабатываний по отправленным в него событиям из SQL-выборки.

Откроется новая вкладка браузера с событиями, обработанными в ходе ретроспективного сканирования, а также агрегированными и корреляционными событиями, созданными во время обработки. Корреляционные события, созданные ретроспективным сканированием, имеют дополнительное поле ReplayID, в котором хранится уникальный идентификатор выполнения ретроспективного сканирования. Аналитик может повторно запустить ретроспективный поиск из контекстного меню задачи. У новых корреляционных событий будет другой ReplayID.

В зависимости от параметров браузера может потребоваться подтверждение открытия вкладки с результатами ретроспективного сканирования. Подробнее см. в документации вашего браузера.

При ретроспективном сканировании события не обогащаются данными из CyberTrace и Kaspersky Threat Intelligence Portal.

Активные листы обновляются при ретроспективном сканировании.

Ретроспективное сканирование невозможно проводить по SQL-запросам, содержащим арифметические выражения или только поля агрегации. Вы можете выполнить ретроспективное сканирование на группах событий, полученных с помощью SQL-запроса с группировкой данных, только после завершения выполнения запроса. Для этого сначала выполните SQL-запрос с группировкой данных и получите список групп событий, а затем запустите ретроспективное сканирование по одной из групп.