SIGMA. Обнаружение аномалий с помощью Sigma-правил

/<ENABLE|DISABLE|ADD|REMOVE|SHOW>

Обязательный параметр.

Указывает на одно из следующих действий:

• ENABLE – включить обнаружение аномалий с помощью Sigma-правил;
• DISABLE – выключить обнаружение аномалий с помощью Sigma-правил;
• ADD – добавить коллекцию Sigma-правил;
• REMOVE – удалить коллекцию Sigma-правил;
• SHOW – отобразить текущие параметры обнаружения аномалий с помощью Sigma-правил.

/COLLECTION:<rat|deltav|uac|siemens|yokogawa|nfta|custom>

Параметр обязателен, если указано SIGMA /<ADD|REMOVE>.

Указывает коллекцию Sigma-правил, которую нужно добавить или удалить:

• rat – Обнаружение средств удаленного администрирования (RAT);
• deltaV – Обнаружение аномалий для Emerson DeltaV;
• uac – Контроль учетных записей пользователей (UAC);
• siemens – Обнаружение аномалий для Siemens SIMATIC WinCC, Siemens TIA Portal, Siemens SIMATIC STEP 7;
• yokogawa – Обнаружение аномалий для Yokogawa CENTUM VP;
• nfta – Аудит обмена файлами по сети и через съемные носители;
• custom – Коллекция пользовательских правил.

Возможно также указать test. Будет добавлено или удалено одно правило, предназначенное для внутреннего тестирования в АО "Лаборатория Касперского".

/NAME:<collection name>

Параметр обязателен, если указано SIGMA /<ADD|REMOVE> и /COLLECTION:custom.

Указывает имя коллекции пользовательских Sigma-правил.

/SOURCE:<full path to the folder with the YAML files>

Параметр обязателен, если указано SIGMA /ADD и /COLLECTION:custom.

Указывает полный путь к папке с YAML-файлами, в которых описаны пользовательские Sigma-правила.

/PWD:<password>

Необязательный параметр.

Пароль учетной записи KLAdmin или учетной записи пользователя с необходимыми разрешениями.

Если значение параметра не указано, приложение предложит ввести пароль в следующей строке.

/LOGIN:<user name>

Необязательный параметр.

Имя учетной записи пользователя с необходимыми разрешениями.

Если значение параметра не указано, приложение предложит ввести имя учетной записи в следующей строке.

Значение параметра не нужно указывать, если вы ввели пароль от учетной записи KLAdmin.