Управление правилами агрегации

В этом разделе содержится общая информация о правилах агрегации и приведены инструкции о том, как создавать, изменять, дублировать, копировать для другого тенанта и удалять правила агрегации.

Чтобы управлять правилами агрегации, вам нужно иметь одну из следующих EDR-ролей: Главный администратор, Администратор тенанта, Администратор SOC.

Правила агрегации позволяют вам объединять повторяющиеся события других решений "Лаборатории Касперского" в алерты Open Single Management Platform. Алерты либо связаны с существующими инцидентами, либо формируют новые инциденты.

Вы можете создавать правила агрегации и управлять ими в разделе Мониторинг → Ресурсы и сервисы → Правила агрегации. Правила агрегации отображаются в виде таблицы. Чем выше находится правило в таблице правил агрегации, тем выше его приоритет. Если вы хотите изменить приоритет правила агрегации, вам нужно перетащить правило, нажав на значок ().

Для унаследованных правил вы можете изменить приоритет только в родительском тенанте. В дочернем тенанте приоритет унаследованных правил всегда выше, чем приоритет правил, созданных в дочернем тенанте. Также в унаследованных правилах порядок приоритета такой же как и в родительском тенанте.

Также таблица содержит предустановленное правило агрегации, созданное экспертами "Лаборатории Касперского". Это правило объединяет события, для которых было активировано одно и то же правило корреляции в течение стандартного интервала агрегации (30 секунд).

Вы не можете удалить предустановленное правило агрегации, но вы можете его изменить. По умолчанию правило включено.

По умолчанию предопределенные правила создаются для всех тенантов, и наследование для них выключено. Если вы включите наследование для правила родительского тенанта, соответствующее правило дочернего тенанта будет перезаписано параметрами родительского тенанта. Если вы выключите наследование, правило родительского тенанта будет удалено. Так как тенант не может существовать без предустановленных правил, для дочернего тенанта будет автоматически создано локальное предопределенное правило.

Правила агрегации обрабатываются последовательно в соответствии с указанным приоритетом. При выполнении условия, заданного в разделе Триггер, правило агрегации срабатывает и поиск других подходящих правил агрегации продолжается. Поиск останавливается только после обработки всех правил в таблице.

Ограничения, связанные с технологиями обнаружения

В зависимости от технологии обнаружения существуют некоторые ограничения на агрегацию алертов:

• Обнаружение YARA, Sandbox и вредоносного ПО в файле:
  • Вы можете агрегировать обнаружения найденных с помощью этих технологий в одном файле.
  • Вы не можете добавлять обнаружение IOA или результаты IOC-проверки или сканирования YARA.
• Обнаружение IOA:
  • Вы можете объединить в один алерт обнаружения, найденные одним или разными IOA-правилами.
  • Вы не можете добавлять обнаружения, найденные с помощью других технологий.
• IOC-проверки:
  • Вы можете агрегировать результаты IOC-проверки (например, обнаружения по одному и тому же IOC-правилу, по разным IOC-правилам, на одном и том же или на разных устройствах).
  • Вы не можете добавлять обнаружения, найденные с помощью других технологий.
• Сканирования YARA:
  • Вы можете агрегировать результаты сканирования YARA (например, обнаружения по одному и тому же YARA-правилу, по разным YARA -правилам, на одном и том же или на разных устройствах).
  • Вы не можете добавлять обнаружения, найденные с помощью других технологий.