Распределение правил корреляции в иерархии

В OSMP поддерживается централизованное управление и распространение правил корреляции между экземплярами OSMP, объединенными в иерархию.

Вы можете создавать правила корреляции на родительском экземпляре OSMP и автоматически распространять их на дочерние экземпляры. На дочерних экземплярах OSMP унаследованные правила корреляции используются без возможности изменения. Для внесения изменений необходимо создать локальную копию унаследованного правила (дублировать правило корреляции). После этого изменения выполняются только в локальной копии. Путь к ресурсу на родительском и дочерних экземплярах OSMP будет отличаться, поскольку у папок разные имена, при этом сами ресурсы и изменения в них будут синхронизированы.

Централизованное управление обеспечивает единое использование правил корреляции в распределенных инфраструктурах с несколькими экземплярами OSMP, снижает затраты на сопровождение правил и поддерживает единообразное обнаружение угроз.

Основные термины

Глобальное правило — правило корреляции, созданное на родительском экземпляре OSMP и распространяемое на дочерние экземпляры.

Локальное правило – правило, созданное на дочернем экземпляре OSMP.

Унаследованный коррелятор – сервис корреляции на дочернем экземпляре OSMP, использующий конфигурацию коррелятора, созданную на родительском экземпляре.

Унаследованный ресурс – ресурс, полученный из родительского экземпляра OSMP по иерархии.

Предварительные условия

Для работы механизма наследования правил должны быть выполнены следующие условия:

1. Настроена иерархия экземпляров OSMP.

   Экземпляры OSMP должны быть объединены в иерархию: родительский экземпляр и один или несколько дочерних экземпляров.

2. Дочерний экземпляр OSMP подключен к родительскому экземпляру OSMP.

Возможности функции

На родительском экземпляре OSMP доступны следующие действия:

• Создание глобальных правил корреляции и распространение правил на дочерние экземпляры OSMP.
• Просмотр ресурсов и сервисов, созданных на дочерних экземплярах OSMP.

В разделе Активные сервисы доступны следующие операции:

• Добавление сервиса.
• Обновление параметров сервиса.
• Перезапуск сервиса.
• Удаление сервиса дочернего экземпляра.
• Просмотр событий сервиса.
• Просмотр активных листов.
• Просмотр контекстных таблиц.
• Просмотр разделов.
• Скачивание логов и дампа.
• Копирование идентификатора сервиса.
• Копирование идентификатора кластера.
• Сброс сертификата.

На дочернем экземпляре OSMP доступны следующие действия:

• Использование унаследованных правил без возможности редактирования.
• Создание локальной копии глобального правила.

В разделе Активные сервисы для унаследованных сервисов доступны следующие операции:

• Просмотр журналов сервиса.
• Обновление параметров сервиса.
• Просмотр конфигурации сервиса.

Ограничения

Для унаследованных правил корреляции на дочерних экземплярах OSMP недоступно изменение правил, удаление, изменение привязки к сервисам, изменение параметров коррелятора.

Для изменения унаследованного правила корреляции необходимо создать его дубликат на дочернем экземпляре OSMP.

Дубликат становится локальным ресурсом, доступным для внесения изменений.

Жизненный цикл правил

Обновление родительского правила

После изменения глобального правила изменения не распространяются автоматически. Если вы хотите применить изменения, необходимо выполнить перезапуск сервиса коррелятора или

обновление параметров сервиса.

После этого изменения будут применены на дочерних экземплярах OSMP.

Удаление правила на родительском экземпляре

Если глобальное правило удалено на родительском экземпляре OSMP, на дочернем экземпляре OSMP унаследованное правило не удаляется автоматически. Унаследованное правило становится локальным и дочерний экземпляр OSMP получает полные права на ресурс.

Дублирование правила

Если глобальное правило продублировано на дочернем экземпляре OSMP, создается локальная копия правила и дочерний экземпляр OSMP получает полные права (чтение, запись, удаление).

Экспорт и импорт

Унаследованное правило можно экспортировать и импортировать в другой экземпляр OSMP.

После импорта такое правило становится локальным ресурсом, доступным для внесения изменений.

Временное нарушение связи

Если соединение между экземплярами OSMP временно отсутствует, пакеты до 64 МБ передаются сразу, более крупные пакеты отклоняются с ошибкой.

После восстановления соединения дочерние экземпляры получают недостающие изменения.

Разрыв иерархии

Если дочерний экземпляр отключен от иерархии, унаследованные сервисы становятся локальными, унаследования правила становятся локальными и доступны для изменения и удаления.

Сценарии использования

Доступны следующие возможности:

• Распространение глобальной конфигурации коррелятора с глобальным правилом корреляции.
• Распространение глобального правила корреляции для локального использования.
• Дублирование унаследованного правила корреляции на дочернем экземпляре OSMP.
• Просмотр правил корреляции, созданных на дочерних экземплярах OSMP.