Правила обогащения
Обогащение событий – это дополнение событий информацией, которая может быть использована для выявления инцидента и при проведении расследования.
Правила обогащения позволяют добавлять в поля события дополнительную информацию путем преобразования данных, уже размещенных в полях, или с помощью запроса данных из внешних систем. Например, в событии есть имя учетной записи пользователя. С помощью правила обогащения вы можете добавить сведения об отделе, должности и руководителе этого пользователя в поля события.
Правила обогащения можно использовать в следующих сервисах и функциях KUMA:
- Коллектор. В коллекторе можно создать правило обогащения и оно станет ресурсом, доступным для переиспользования в других сервисах. Также можно привязать правило обогащения, созданное как отдельный ресурс.
- Коррелятор. В корреляторе можно создать правило обогащения и оно станет ресурсом, доступным для переиспользования в других сервисах. Также можно привязать правило обогащения, созданное как отдельный ресурс.
- Нормализатор. В нормализаторе можно только создать правило обогащения, которое будет привязано только к нормализатору и не будет доступно как отдельный ресурс для использования в других сервисах.
Доступные параметры правил обогащения перечислены в таблице ниже.
Вкладка Общие
Эта вкладка используется для указания основных параметров правила обогащения (см. таблицу ниже).
Вкладка Общие
Параметр | Описание | ||||||||||||||||||||||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
Название | Обязательный параметр. Уникальное имя ресурса. Должно содержать от 1 до 128 символов в кодировке Unicode. | ||||||||||||||||||||||||||||||||||||||||||||||||||||
Тенант | Обязательный параметр. Название тенанта, которому принадлежит ресурс. | ||||||||||||||||||||||||||||||||||||||||||||||||||||
Тип источника данных | Обязательный параметр. Раскрывающийся список для выбора типа входящих событий. В зависимости от выбранного типа отображаются дополнительные параметры:
| ||||||||||||||||||||||||||||||||||||||||||||||||||||
Отладка | Переключатель, с помощью которого можно включить логирование операций сервиса. По умолчанию логирование выключено. | ||||||||||||||||||||||||||||||||||||||||||||||||||||
Описание | Описание ресурса: до 4000 символов в кодировке Unicode. | ||||||||||||||||||||||||||||||||||||||||||||||||||||
Фильтр | Блок параметров, в котором можно задать условия определения событий, которые будут обрабатываться этим ресурсом. В раскрывающемся списке можно выбрать существующий фильтр или Создать новый фильтр. Все поля события KUMA имеют значение по умолчанию. Для всех числовых полей это значение равно 0. Для всех строковых полей значение по умолчанию – пустая строка. Если событие не имеет какого-то поля, это значит, что полю присвоено значение по умолчанию. Поэтому фильтр может сработать на событие, даже если у этого события нет указанного в фильтре поля. Например, если вы в фильтре указали условие Чтобы создать фильтр:
|
.
.
.Вкладка Сервисы
Эта вкладка отображается только при изменении параметров созданного правила обогащения и используется для привязки правила к сервисам: корреляторам и коллекторам.
Для привязки правила обогащения к коллектору и/или коррелятору, нажмите на кнопку Привязать к сервису → Привязать к <название сервиса>. В открывшемся окне выберите один или несколько корреляторов или коллекторов и нажмите ОК. Правило обогащения будет привязано к выбранным сервисам и начнет выполняться в соответствии с их конфигурацией.
При необходимости вы можете отвязать правило обогащения от сервиса. Для этого нужно установить флажок рядом с нужным коррелятором или коллектором, нажать Удалить и подтвердить удаление привязки к сервису.
Предустановленные правила обогащения
В поставку KUMA включено правило обогащения [OOTB] KATA alert. Это правило используется для обогащения событий, поступивших от KATA в виде гиперссылки на алерт. Гиперссылка размещается в поле DeviceExternalId.
Для того чтобы параметр DeviceExternalID отображался в виде ссылки в свойствах событий, убедитесь, что в поле Шаблон для параметра DeviceAddress указаны URL или полное доменное имя, после которых присутствует символ "/", например: https://example.com:8443/ или https://example.com/.
