Особенности работы и ограничения обнаружения аномалий с помощью Sigma-правил
Для корректной работы некоторых коллекций Sigma-правил необходимо изменение параметров политик аудита. Поведение приложения различается в зависимости от того, входит компьютер в домен или нет:
- Если компьютер входит в домен, приложение не меняет параметры групповой политики домена. Вы можете исключить данный компьютер из домена или настроить параметры групповой политики домена самостоятельно.
- Если компьютер не входит в домен, приложение автоматически изменяет параметры локальной политики, если это требуется для корректной работы коллекции Sigma-правил.
Для автоматического изменения параметров локальной политики должна быть включена функция Автоматически вносить изменения в локальную политику аудита безопасности. Если функция выключена, необходимо самостоятельно настроить параметры локальной политики для корректной работы Sigma-правил.
Приложение не вносит изменения в параметры локальной политики для пользовательских коллекций Sigma-правил. Вам необходимо самостоятельно настроить параметры локальной политики для корректной работы пользовательских Sigma-правил.
После выключения коллекции Sigma-правил приложение не возвращает параметры локальной политики в исходное состояние. При необходимости вы можете самостоятельно восстановить исходные параметры локальной политики.
Функциональность обнаружения аномалий с помощью Sigma-правил имеет следующие ограничения:
- Для работы Sigma-правила "Изменение или удаление журналов событий Windows на узле DeltaV" сразу после установки компонента Обнаружение аномалий с помощью Sigma-правил требуется перезагрузить компьютер или остановить и заново запустить службу Журнал событий Windows.
- Не поддерживаются следующие модификаторы значений:
base64offset,cidr,lt,windash. - Не поддерживаются регулярные выражения.
- Не поддерживается экранирование подстановочных знаков.
- Подстановочный знак
?обрабатывается приложением как*. - Не поддерживается конструкция "
condition: not selection", при этом поддерживается конструкция "condition: selection and not filter". - Не поддерживаются правила, в которых в качестве критериев для поиска аномалий в журналах событий Windows не указано одно или несколько значений параметра
EventID. - Для Sigma-правил, описывающих операции с файлами, в отчете фиксируется первые 50 обнаружений. Счетчик обнаружений ведется отдельно для каждого процесса в случае, если процесс выполняет операции с файлами, у которых схожие пути.
- Приложение поддерживает работу Sigma-правил на компьютерах под управлением Windows XP и Windows Server 2003 с ограничениями. Открытие деталей алерта, обнаруженных на компьютерах под управлением этих ОС, может завершиться с ошибкой Не удалось открыть детали алерта. Возможные причины: компьютер не в сети, проблемы с сетью, истек срок хранения алерта. Вы можете открыть детали алерта с помощью Kaspersky Industrial CyberSecurity for Networks.
- Приложение поддерживает работу с Siemens SIMATIC PCS 7 версии 9.0 SP1 и выше.
- Для работы Sigma-правила "Детект записи файла на съемный диск" из предустановленной коллекции Аудит обмена файлами по сети и через съемные носители требуется перезагрузить компьютер.
