Селекторы правил корреляции и выражения

В текущей версии Kaspersky EDR Expert представлена бета-версия correlator-ng, которая предназначена для ознакомления. До выхода полнофункциональной версии коррелятора API методы, алгоритмы, синтаксис условий и другие функции и характеристики могут быть изменены.

В correlator-ng селекторы обладают всеми возможностями переменных и могут использовать функции для работы со строками, массивами и числами (например, substring, tr, to_lower). Создавать отдельную переменную для использования функций не обязательно, селекторы сами могут применять эти функции.

Селекторы описываются с использованием SQL-синтаксиса, применимого для условий WHERE.

В конфигурации селекторов и переменных используются выражения для фильтрации и объединения событий. Они поддерживают те же операции, что и переменные, с возможностью построения сложных условий. Ниже приведены доступные типы выражений.

При написании выражений для сравнения значений с использованием констант следует указывать константу справа. В этом случае коррелятор применяет различные оптимизации. Если константа указана слева, то оптимизация не выполняется.

Константы

Константы

Ссылки на значения

Ссылки на значения

Логические и групповые операторы

Логические и групповые операторы

Сравнительные операторы

Сравнительные операторы

Арифметические операторы

Арифметические операторы

Функции

Функции

Подробнее о доступных функциях см. раздел Функции обработки данных в correlator-ng.