Ретроспективная проверка

В обычном режиме коррелятор работает только с событиями, поступающими от коллекторов в реальном времени. Ретроспективная проверка позволяет применить правила корреляции к произошедшим ранее событиям, если вы хотите отладить правила корреляции или проанализировать данные.

Чтобы проверить работу правила корреляции, не обязательно воспроизводить инцидент в реальном времени. Вы можете запускать правило корреляции в режиме Ретроспективная проверка для существующих событий, среди которых есть нужный инцидент.

С помощью поискового запроса вы можете определить список событий, для которых будет выполнена ретроспективная проверка, задать период поиска и указать хранилище, в котором нужно искать события. Можно настроить задачу таким образом, чтобы во время ретроспективной проверки событий создавались алерты и применялись правила реагирования.

Чтобы включить ретроспективную проверку:

1. В разделе События веб-интерфейса KUMA получите необходимую выборку событий:
   • Выберите хранилище.

     Перед запуском ретроспективной проверки убедитесь, что выбраны нужные кластеры и пространства.

   • Настройте поисковое выражение с помощью конструктора или поискового запроса.

     Перед запуском ретроспективной проверки убедитесь, что в поле SQL-запроса указано нужное выражение.

   • Задайте необходимый период.

     Перед запуском ретроспективной проверки убедитесь, что в поле периода выбран нужный период.

2. В раскрывающемся списке выберите Ретроспективная проверка.

   Откроется окно ретроспективной проверки.

3. В раскрывающемся списке Коррелятор выберите сервис коррелятора, в который будут загружены выбранные события.

   Перед запуском ретроспективной проверки проверьте количество событий, найденных при выполнении SQL-запроса. Эта информация отображается в блоке Показать временную шкалу → Всего. Если в SQL-запросе не указано значение параметра LIMIT, в коррелятор отправляются все события за период и длительность выполнения задачи возрастает. Если в периоде установлен относительный период (например, now-1h), при запуске ретроспективной проверки могут появится новые события, которые также будут отправлены в коррелятор. Если коррелятор установлен не в тенанте Main, в него могут отправляться события только того тенанта, где он установлен.

4. В раскрывающемся списке Правила корреляции выберите правила корреляции, с помощью которых нужно обработать выбранные события. Если на этом шаге не выбрано ни одного правила, проверка будет выполнена с применением всех правил корреляции.
5. Если вы хотите, чтобы в процессе обработки событий срабатывали правила реагирования, включите переключатель Выполнить правила реагирования.
6. Если вы хотите, чтобы в процессе обработки событий создавались алерты, включите переключатель Создать алерты.
7. Нажмите на кнопку Создать задачу.

Задача ретроспективной проверки создана и отображается в разделе Диспетчер задач.

Чтобы просмотреть результаты проверки, в разделе Диспетчер задач веб-интерфейса KUMA нажмите на созданную вами задачу и в раскрывающемся списке выберите Перейти к событиям.

Результаты ретроспективной проверки отображают только сформированные корреляционные события.
Начало периода в результатах ретроспективной проверки отображается как <дата и время создания задачи>, окончание периода – <дата и время создания задачи + один час> (или текущее время, если один час с момента создания задачи еще не истек).
Если в результатах ретроспективной проверки нет событий, значит в корреляторе не было срабатываний по отправленным в него событиям из SQL-выборки.

Откроется новая вкладка браузера с событиями, обработанными в ходе ретроспективной проверки, а также агрегированными и корреляционными событиями, созданными во время обработки. Корреляционные события, созданные ретроспективной проверкой, имеют дополнительное поле ReplayID, в котором хранится уникальный идентификатор выполнения ретроспективной проверки. Аналитик может повторно запустить ретроспективный поиск из контекстного меню задачи. У новых корреляционных событий будет другой ReplayID.

В зависимости от параметров браузера может потребоваться подтверждение открытия вкладки с результатами ретроспективной проверки. Подробнее см. в документации вашего браузера.

При ретроспективной проверке события не обогащаются данными из CyberTrace и Kaspersky Threat Intelligence Portal.

Активные листы обновляются при ретроспективной проверке.

Ретроспективную проверку невозможно проводить по SQL-запросам, содержащим арифметические выражения или только поля агрегации. Вы можете выполнить ретроспективную проверку на группах событий, полученных с помощью SQL-запроса с группировкой данных, только после завершения выполнения запроса. Для этого сначала выполните SQL-запрос с группировкой данных и получите список групп событий, а затем запустите ретроспективную проверку по одной из групп.