Добавление Sigma-правил в пользовательскую коллекцию
- В дереве Консоли администрирования Kaspersky Security Center выберите папку Политики.
- Выберите нужную политику и откройте свойства политики двойным щелчком мыши.
- Выберите раздел Обнаружение аномалий с помощью Sigma-правил.
- В блоке Обнаружение аномалий с помощью Sigma-правил нажмите на кнопку Настройка.
- В открывшемся окне выберите пользовательскую коллекцию Sigma-правил, в которую вы хотите добавить одно или несколько Sigma-правил.
- Нажмите на кнопку Изменить.
- В открывшемся окне добавьте в коллекцию Sigma-правила любым из следующих способов:
- Вручную:
- Нажмите на кнопку Добавить.
- В открывшейся форме для редактирования опишите правило в формате Sigma.
В таблице дана базовая информация об атрибутах и секциях Sigma-правила, которые интерпретирует Kaspersky Industrial CyberSecurity for Nodes. Более детальную информацию вы можете получить по ссылке.
Значения атрибутов чувствительны к регистру. Например, названия исполняемых файлов AnyDesk.exe и anyDesk.exe
Структура Sigma-правила
Атрибут / Секция
Обязательный
Описание
titleДа
Название правила, указывающее на то, что оно обнаруживает. Максимальная длина 256 символов.
Например:
title: Creation of a new RAT service
idНет
Глобальный уникальный идентификатор правила. Например:
id: 929a690e-bef0-4204-a928-ef5e620d6fcc
statusНет
Статус правила. Возможные значения:
stable,test,experimental,deprecated,unsupported.Например:
status: test
descriptionНет
Описание правила и вредоносной активности, которую можно обнаружить с его помощью. Максимальная длина 65 535 символов.
Например:
description: Detects the installation of a new Remote Utilities host application service.
licenseНет
Идентификатор лицензии согласно спецификации SPDX ID. Правило публикуется на условиях указанного типа лицензии.
authorНет
Любой признак, указывающий на автора правила. Например, имя-фамилия, прозвище, идентификатор в социальной сети.
referenceНет
Ссылка на источник, из которого было получено правило. Например, статья в блоге, технический документ.
dateНет
Дата создания правила в формате ГГГГ/ММ/ДД.
modifiedНет
Дата в формате ГГГГ/ММ/ДД, когда был изменен один из атрибутов правила:
title,status,logsource,detection,level.tagsНет
Тег для категоризации правила. Подробнее читайте по ссылке.
logsourceДа
В секции можно определить источник событий, в которых программа ищет аномалии. Основные атрибуты секции:
category,product,service.Источники событий, которые поддерживает Kaspersky Industrial CyberSecurity for Nodes
Поддерживаемые Kaspersky Industrial CyberSecurity for Nodes источники событий
Источник (logsource)
Событие
category: process_creationproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события о запуске процесса, которое по содержанию соответствует событию EventID 1 в журнале Microsoft-Windows-Sysmon/Operational и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
category: driver_loadproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события о загрузке драйвера, которое по содержанию соответствует событию EventID 6 в журнале Microsoft-Windows-Sysmon/Operational и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
category: image_loadproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события, которое по содержанию соответствует событию EventID 7 в журнале Microsoft-Windows-Sysmon/Operational и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
category: registry_eventproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутренних событий, которые по содержанию соответствуют событиям EventID 12, EventID 13 и EventID 14 в журнале Microsoft-Windows-Sysmon/Operational и дополнены полями Kaspersky Industrial CyberSecurity for Nodes.
category: dns_queryproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события, которое по содержанию соответствует событию EventID 22 в журнале Microsoft-Windows-Sysmon/Operational и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
category: file_renameproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события, которое по содержанию соответствует событию в журнале провайдера службы трассировки Windows Microsoft-Windows-Kernel-File и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
category: file_eventproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события, которое по содержанию соответствует событию EventID 11 в журнале Microsoft-Windows-Sysmon/Operational и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
product: windowsservice: applicationKaspersky Industrial CyberSecurity for Nodes анализирует события из журнала WEL/Application.
product: windowsservice: securityKaspersky Industrial CyberSecurity for Nodes анализирует события из журнала WEL/Security.
product: windowsservice: systemKaspersky Industrial CyberSecurity for Nodes анализирует события из журнала WEL/System.
category: chronicle_journalproduct: deltavKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутренних событий, связанных с нормализованными данными из журналов событий системы Emerson DeltaV.
События источника не связаны с внешними журналами событий.
product: windowsservice: powershell-classicKaspersky Industrial CyberSecurity for Nodes анализирует события из журнала Windows PowerShell.
product: windowsservice: powershellKaspersky Industrial CyberSecurity for Nodes анализирует события из журнала Microsoft-Windows-PowerShell/Operational.
В операционной системе Microsoft Windows 7 для источников
category: dns_query,service: powershell-classic,service: powershellотсутствуют некоторые внутренние события либо в событиях могут отсутствовать некоторые поля или необходимые данные. В результате Sigma-правила могут не срабатывать.Подробнее читайте по ссылке.
categoryНет
Определяет категорию продуктов, в журналах событий которых программа ищет аномалии. Например: брандмауэр, интернет, антивирус или обобщенная категория.
logsource:
category: firewall
productНет
Определяет программный продукт или операционную систему, в журналах событий которых программа ищет аномалии. Например:
logsource:
product: Windows
serviceНет
Определяет службу, в журналах событий которой программа ищет аномалии. Например:
logsource:
service: AppLocker
definitionНет
Описание особенностей источника журналов событий, в которых программа ищет аномалии.
detectionДа
Секция содержит один или несколько критериев для поиска аномалий в журналах событий и условие срабатывания правила. В качестве критериев поиска могут быть списки, словари и их комбинация.
Kaspersky Industrial CyberSecurity for Nodes не поддерживает модификатор значения
windash.список
Нет
Список из значений какого-либо параметра из журнала событий, объединенных логическим ИЛИ. Например:
detection:
selection:
OriginalFileName:
- 'AnyDesk.exe'
- 'TeamViewer.exe'
condition: selection
Согласно условию, будут искаться совпадения
OriginalFileName='AnyDesk.exe'ИЛИOriginalFileName='TeamViewer.exe'.словарь
Нет
Пары типа параметр журнала событий - значение. Соединены логическим И. Например:
detection:
selection:
EventLog: Security
EventID: 517
condition: selection
Согласно условию, будут искаться совпадения EventLog='Security' И Event ID=517.
комбинация списка и словаря
Нет
Список, состоящий из значений параметров журнала событий и словарей. Например:
detection:
selection:
EventLog: Security
EventID:
- 517
- 1102'
condition: selection
Согласно условию, будут искаться совпадения EventLog='Security' И (Event ID=517 ИЛИ Event ID=1102)
conditionДа
Условие срабатывания правила. Например:
detection:
selection:
EventLog: Security
condition: selection
fieldsНет
Строки из журнала событий, которые могут быть интересны аналитику для дальнейшего анализа события.
falsepositivesНет
Список известных сценариев, которые могут привести к ложному срабатыванию правила. Например:
falsepositives:
- Use of a utility by system administrators
levelНет
Показатель критичности аномалий, которые могут быть найдены с помощью правила. Возможные значения:
informational,low,medium,high,critical. - Нажмите на кнопку ОК.
Описанное Sigma-правило отобразится в списке правил коллекции.
- Повторите пункты a-c для каждого добавляемого вручную правила.
- Из файлов:
- Нажмите на кнопку Добавить файл.
- В открывшемся окне выберите один или несколько YAML-файлов, в которых описаны Sigma-правила.
Sigma-правила, описанные в YAML-файлах, отобразятся в списке правил коллекции.
Если в синтаксисе Sigma-правила допущены ошибки, или отсутствуют обязательные атрибуты, то правило не будет добавлено в коллекцию.
- Вручную:
- Добавленные правила по умолчанию включены. Если необходимо, измените состояние Sigma-правила с помощью флажка слева от имени коллекции. Вы можете изменять состояние всех правил в коллекции с помощью кнопок Включить все и Выключить все.
- Для удаления правила из списка выберите правило и нажмите на кнопку Удалить.
- Сохраните внесенные изменения.
Добавление Sigma-правил в пользовательскую коллекцию в Web Console
- В главном окне Web Console выберите Управление активами → Политики.
- Нажмите на название политики Kaspersky Industrial CyberSecurity for Nodes.
Откроется окно свойств политики.
- Выберите вкладку Параметры приложения.
- Выберите раздел Обнаружение аномалий с помощью Sigma-правил.
- В блоке Обнаружение аномалий с помощью Sigma-правил выберите пользовательскую коллекцию Sigma-правил, в которую вы хотите добавить одно или несколько Sigma-правил, с помощью флажка напротив имени коллекции.
- Нажмите на кнопку Изменить.
- В открывшемся окне добавьте в коллекцию Sigma-правила любым из следующих способов:
- Вручную:
- Нажмите на кнопку Добавить.
- В открывшейся форме для редактирования опишите правило в формате Sigma.
В таблице дана базовая информация об атрибутах и секциях Sigma-правила, которые интерпретирует Kaspersky Industrial CyberSecurity for Nodes. Более детальную информацию вы можете получить по ссылке.
Значения атрибутов чувствительны к регистру. Например, названия исполняемых файлов AnyDesk.exe и anyDesk.exe
Структура Sigma-правила
Атрибут / Секция
Обязательный
Описание
titleДа
Название правила, указывающее на то, что оно обнаруживает. Максимальная длина 256 символов.
Например:
title: Creation of a new RAT service
idНет
Глобальный уникальный идентификатор правила. Например:
id: 929a690e-bef0-4204-a928-ef5e620d6fcc
statusНет
Статус правила. Возможные значения:
stable,test,experimental,deprecated,unsupported.Например:
status: test
descriptionНет
Описание правила и вредоносной активности, которую можно обнаружить с его помощью. Максимальная длина 65 535 символов.
Например:
description: Detects the installation of a new Remote Utilities host application service.
licenseНет
Идентификатор лицензии согласно спецификации SPDX ID. Правило публикуется на условиях указанного типа лицензии.
authorНет
Любой признак, указывающий на автора правила. Например, имя-фамилия, прозвище, идентификатор в социальной сети.
referenceНет
Ссылка на источник, из которого было получено правило. Например, статья в блоге, технический документ.
dateНет
Дата создания правила в формате ГГГГ/ММ/ДД.
modifiedНет
Дата в формате ГГГГ/ММ/ДД, когда был изменен один из атрибутов правила:
title,status,logsource,detection,level.tagsНет
Тег для категоризации правила. Подробнее читайте по ссылке.
logsourceДа
В секции можно определить источник событий, в которых программа ищет аномалии. Основные атрибуты секции:
category,product,service.Источники событий, которые поддерживает Kaspersky Industrial CyberSecurity for Nodes
Поддерживаемые Kaspersky Industrial CyberSecurity for Nodes источники событий
Источник (logsource)
Событие
category: process_creationproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события о запуске процесса, которое по содержанию соответствует событию EventID 1 в журнале Microsoft-Windows-Sysmon/Operational и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
category: driver_loadproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события о загрузке драйвера, которое по содержанию соответствует событию EventID 6 в журнале Microsoft-Windows-Sysmon/Operational и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
category: image_loadproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события, которое по содержанию соответствует событию EventID 7 в журнале Microsoft-Windows-Sysmon/Operational и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
category: registry_eventproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутренних событий, которые по содержанию соответствуют событиям EventID 12, EventID 13 и EventID 14 в журнале Microsoft-Windows-Sysmon/Operational и дополнены полями Kaspersky Industrial CyberSecurity for Nodes.
category: dns_queryproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события, которое по содержанию соответствует событию EventID 22 в журнале Microsoft-Windows-Sysmon/Operational и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
category: file_renameproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события, которое по содержанию соответствует событию в журнале провайдера службы трассировки Windows Microsoft-Windows-Kernel-File и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
category: file_eventproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события, которое по содержанию соответствует событию EventID 11 в журнале Microsoft-Windows-Sysmon/Operational и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
product: windowsservice: applicationKaspersky Industrial CyberSecurity for Nodes анализирует события из журнала WEL/Application.
product: windowsservice: securityKaspersky Industrial CyberSecurity for Nodes анализирует события из журнала WEL/Security.
product: windowsservice: systemKaspersky Industrial CyberSecurity for Nodes анализирует события из журнала WEL/System.
category: chronicle_journalproduct: deltavKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутренних событий, связанных с нормализованными данными из журналов событий системы Emerson DeltaV.
События источника не связаны с внешними журналами событий.
product: windowsservice: powershell-classicKaspersky Industrial CyberSecurity for Nodes анализирует события из журнала Windows PowerShell.
product: windowsservice: powershellKaspersky Industrial CyberSecurity for Nodes анализирует события из журнала Microsoft-Windows-PowerShell/Operational.
В операционной системе Microsoft Windows 7 для источников
category: dns_query,service: powershell-classic,service: powershellотсутствуют некоторые внутренние события либо в событиях могут отсутствовать некоторые поля или необходимые данные. В результате Sigma-правила могут не срабатывать.Подробнее читайте по ссылке.
categoryНет
Определяет категорию продуктов, в журналах событий которых программа ищет аномалии. Например: брандмауэр, интернет, антивирус или обобщенная категория.
logsource:
category: firewall
productНет
Определяет программный продукт или операционную систему, в журналах событий которых программа ищет аномалии. Например:
logsource:
product: Windows
serviceНет
Определяет службу, в журналах событий которой программа ищет аномалии. Например:
logsource:
service: AppLocker
definitionНет
Описание особенностей источника журналов событий, в которых программа ищет аномалии.
detectionДа
Секция содержит один или несколько критериев для поиска аномалий в журналах событий и условие срабатывания правила. В качестве критериев поиска могут быть списки, словари и их комбинация.
Kaspersky Industrial CyberSecurity for Nodes не поддерживает модификатор значения
windash.список
Нет
Список из значений какого-либо параметра из журнала событий, объединенных логическим ИЛИ. Например:
detection:
selection:
OriginalFileName:
- 'AnyDesk.exe'
- 'TeamViewer.exe'
condition: selection
Согласно условию, будут искаться совпадения
OriginalFileName='AnyDesk.exe'ИЛИOriginalFileName='TeamViewer.exe'.словарь
Нет
Пары типа параметр журнала событий - значение. Соединены логическим И. Например:
detection:
selection:
EventLog: Security
EventID: 517
condition: selection
Согласно условию, будут искаться совпадения EventLog='Security' И Event ID=517.
комбинация списка и словаря
Нет
Список, состоящий из значений параметров журнала событий и словарей. Например:
detection:
selection:
EventLog: Security
EventID:
- 517
- 1102'
condition: selection
Согласно условию, будут искаться совпадения EventLog='Security' И (Event ID=517 ИЛИ Event ID=1102)
conditionДа
Условие срабатывания правила. Например:
detection:
selection:
EventLog: Security
condition: selection
fieldsНет
Строки из журнала событий, которые могут быть интересны аналитику для дальнейшего анализа события.
falsepositivesНет
Список известных сценариев, которые могут привести к ложному срабатыванию правила. Например:
falsepositives:
- Use of a utility by system administrators
levelНет
Показатель критичности аномалий, которые могут быть найдены с помощью правила. Возможные значения:
informational,low,medium,high,critical. - Нажмите на кнопку ОК.
Описанное Sigma-правило отобразится в списке правил коллекции.
- Повторите пункты a-c для каждого добавляемого вручную правила.
- Из файлов:
- Нажмите на кнопку Добавить файл.
- В открывшемся окне выберите один или несколько YAML-файлов, в которых описаны Sigma-правила.
Sigma-правила, описанные в YAML-файлах, отобразятся в списке правил коллекции.
Если в синтаксисе Sigma-правила допущены ошибки, или отсутствуют обязательные атрибуты, то правило не будет добавлено в коллекцию.
- Вручную:
- Добавленные правила по умолчанию включены. Если необходимо, измените состояние Sigma-правила с помощью переключателя слева от имени коллекции. Вы можете изменять состояние всех правил в коллекции с помощью кнопок Включить все и Выключить все.
- Для удаления правила из списка выберите правило и нажмите на кнопку Удалить.
- Сохраните внесенные изменения.
Добавление Sigma-правил в пользовательскую коллекцию в Консоли приложения
- В дереве Консоли приложения выберите раздел Detection and Response → Обнаружение аномалий с помощью Sigma-правил.
- В панели результатов перейдите по ссылке Свойства.
- В открывшемся окне выберите пользовательскую коллекцию Sigma-правил, в которую вы хотите добавить одно или несколько Sigma-правил.
- Нажмите на кнопку Изменить.
- В открывшемся окне добавьте в коллекцию Sigma-правила любым из следующих способов:
- Вручную:
- Нажмите на кнопку Добавить.
- В открывшейся форме для редактирования опишите правило в формате Sigma.
В таблице дана базовая информация об атрибутах и секциях Sigma-правила, которые интерпретирует Kaspersky Industrial CyberSecurity for Nodes. Более детальную информацию вы можете получить по ссылке.
Значения атрибутов чувствительны к регистру. Например, названия исполняемых файлов AnyDesk.exe и anyDesk.exe
Структура Sigma-правила
Атрибут / Секция
Обязательный
Описание
titleДа
Название правила, указывающее на то, что оно обнаруживает. Максимальная длина 256 символов.
Например:
title: Creation of a new RAT service
idНет
Глобальный уникальный идентификатор правила. Например:
id: 929a690e-bef0-4204-a928-ef5e620d6fcc
statusНет
Статус правила. Возможные значения:
stable,test,experimental,deprecated,unsupported.Например:
status: test
descriptionНет
Описание правила и вредоносной активности, которую можно обнаружить с его помощью. Максимальная длина 65 535 символов.
Например:
description: Detects the installation of a new Remote Utilities host application service.
licenseНет
Идентификатор лицензии согласно спецификации SPDX ID. Правило публикуется на условиях указанного типа лицензии.
authorНет
Любой признак, указывающий на автора правила. Например, имя-фамилия, прозвище, идентификатор в социальной сети.
referenceНет
Ссылка на источник, из которого было получено правило. Например, статья в блоге, технический документ.
dateНет
Дата создания правила в формате ГГГГ/ММ/ДД.
modifiedНет
Дата в формате ГГГГ/ММ/ДД, когда был изменен один из атрибутов правила:
title,status,logsource,detection,level.tagsНет
Тег для категоризации правила. Подробнее читайте по ссылке.
logsourceДа
В секции можно определить источник событий, в которых программа ищет аномалии. Основные атрибуты секции:
category,product,service.Источники событий, которые поддерживает Kaspersky Industrial CyberSecurity for Nodes
Поддерживаемые Kaspersky Industrial CyberSecurity for Nodes источники событий
Источник (logsource)
Событие
category: process_creationproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события о запуске процесса, которое по содержанию соответствует событию EventID 1 в журнале Microsoft-Windows-Sysmon/Operational и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
category: driver_loadproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события о загрузке драйвера, которое по содержанию соответствует событию EventID 6 в журнале Microsoft-Windows-Sysmon/Operational и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
category: image_loadproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события, которое по содержанию соответствует событию EventID 7 в журнале Microsoft-Windows-Sysmon/Operational и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
category: registry_eventproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутренних событий, которые по содержанию соответствуют событиям EventID 12, EventID 13 и EventID 14 в журнале Microsoft-Windows-Sysmon/Operational и дополнены полями Kaspersky Industrial CyberSecurity for Nodes.
category: dns_queryproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события, которое по содержанию соответствует событию EventID 22 в журнале Microsoft-Windows-Sysmon/Operational и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
category: file_renameproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события, которое по содержанию соответствует событию в журнале провайдера службы трассировки Windows Microsoft-Windows-Kernel-File и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
category: file_eventproduct: windowsKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутреннего события, которое по содержанию соответствует событию EventID 11 в журнале Microsoft-Windows-Sysmon/Operational и дополнено полями Kaspersky Industrial CyberSecurity for Nodes.
product: windowsservice: applicationKaspersky Industrial CyberSecurity for Nodes анализирует события из журнала WEL/Application.
product: windowsservice: securityKaspersky Industrial CyberSecurity for Nodes анализирует события из журнала WEL/Security.
product: windowsservice: systemKaspersky Industrial CyberSecurity for Nodes анализирует события из журнала WEL/System.
category: chronicle_journalproduct: deltavKaspersky Industrial CyberSecurity for Nodes анализирует экземпляры внутренних событий, связанных с нормализованными данными из журналов событий системы Emerson DeltaV.
События источника не связаны с внешними журналами событий.
product: windowsservice: powershell-classicKaspersky Industrial CyberSecurity for Nodes анализирует события из журнала Windows PowerShell.
product: windowsservice: powershellKaspersky Industrial CyberSecurity for Nodes анализирует события из журнала Microsoft-Windows-PowerShell/Operational.
В операционной системе Microsoft Windows 7 для источников
category: dns_query,service: powershell-classic,service: powershellотсутствуют некоторые внутренние события либо в событиях могут отсутствовать некоторые поля или необходимые данные. В результате Sigma-правила могут не срабатывать.Подробнее читайте по ссылке.
categoryНет
Определяет категорию продуктов, в журналах событий которых программа ищет аномалии. Например: брандмауэр, интернет, антивирус или обобщенная категория.
logsource:
category: firewall
productНет
Определяет программный продукт или операционную систему, в журналах событий которых программа ищет аномалии. Например:
logsource:
product: Windows
serviceНет
Определяет службу, в журналах событий которой программа ищет аномалии. Например:
logsource:
service: AppLocker
definitionНет
Описание особенностей источника журналов событий, в которых программа ищет аномалии.
detectionДа
Секция содержит один или несколько критериев для поиска аномалий в журналах событий и условие срабатывания правила. В качестве критериев поиска могут быть списки, словари и их комбинация.
Kaspersky Industrial CyberSecurity for Nodes не поддерживает модификатор значения
windash.список
Нет
Список из значений какого-либо параметра из журнала событий, объединенных логическим ИЛИ. Например:
detection:
selection:
OriginalFileName:
- 'AnyDesk.exe'
- 'TeamViewer.exe'
condition: selection
Согласно условию, будут искаться совпадения
OriginalFileName='AnyDesk.exe'ИЛИOriginalFileName='TeamViewer.exe'.словарь
Нет
Пары типа параметр журнала событий - значение. Соединены логическим И. Например:
detection:
selection:
EventLog: Security
EventID: 517
condition: selection
Согласно условию, будут искаться совпадения EventLog='Security' И Event ID=517.
комбинация списка и словаря
Нет
Список, состоящий из значений параметров журнала событий и словарей. Например:
detection:
selection:
EventLog: Security
EventID:
- 517
- 1102'
condition: selection
Согласно условию, будут искаться совпадения EventLog='Security' И (Event ID=517 ИЛИ Event ID=1102)
conditionДа
Условие срабатывания правила. Например:
detection:
selection:
EventLog: Security
condition: selection
fieldsНет
Строки из журнала событий, которые могут быть интересны аналитику для дальнейшего анализа события.
falsepositivesНет
Список известных сценариев, которые могут привести к ложному срабатыванию правила. Например:
falsepositives:
- Use of a utility by system administrators
levelНет
Показатель критичности аномалий, которые могут быть найдены с помощью правила. Возможные значения:
informational,low,medium,high,critical. - Нажмите на кнопку ОК.
Описанное Sigma-правило отобразится в списке правил коллекции.
- Повторите пункты a-c для каждого добавляемого вручную правила.
- Из файлов:
- Нажмите на кнопку Добавить файл.
- В открывшемся окне выберите один или несколько YAML-файлов, в которых описаны Sigma-правила.
Sigma-правила, описанные в YAML-файлах, отобразятся в списке правил коллекции.
Если в синтаксисе Sigma-правила допущены ошибки, или отсутствуют обязательные атрибуты, то правило не будет добавлено в коллекцию.
- Вручную:
- Добавленные правила по умолчанию включены. Если необходимо, измените состояние Sigma-правила с помощью флажка слева от имени коллекции. Вы можете изменять состояние всех правил в коллекции с помощью кнопок Включить все и Выключить все.
- Для удаления правила из списка выберите правило и нажмите на кнопку Удалить.
- Сохраните внесенные изменения.
