Правило корреляции, тип operational
Правила корреляции с типом operational используются для работы с активными листами. Доступные параметры правила корреляции с типом operational описаны в таблицах ниже.
Вкладка Общие
Эта вкладка используется для указания основных параметров правила корреляции.
Параметр | Описание |
|---|---|
Название | Уникальное имя ресурса. Максимальная длина имени составляет до 128 символов в кодировке Unicode. Обязательный параметр. |
Тенант | Название тенанта, которому принадлежит ресурс. Обязательный параметр. |
Тип | Тип правила корреляции – operational. Обязательный параметр. |
Теги | Теги для поиска ресурса. Необязательный параметр. |
Частота срабатываний | Максимальное количество срабатываний правила корреляции в секунду. Значение по умолчанию: Если не срабатывают правила корреляции, в которых реализована сложная логика обнаружения закономерностей, причиной могут быть особенности подсчета срабатываний правила в KUMA. В этом случае мы рекомендуем увеличить значение в поле Частота срабатываний, например до |
Описание | Описание ресурса. Максимальная длина описания составляет до 4000 символов в кодировке Unicode. |
Техники MITRE | Загруженные техники MITRE ATT&CK для анализа состояния покрытия безопасности с помощью матрицы MITRE ATT&CK. |
Вкладка Селекторы
Эта вкладка используется для определения условий, которым должны удовлетворять обрабатываемые события для срабатывания правила корреляции. Для селектора доступны вкладки Параметры и Локальные переменные.
Параметры, доступные на вкладке Параметры, описаны в таблице ниже.
Параметр | Описание |
|---|---|
Фильтр | Фильтр, указывающий критерии определения событий, при получении которых будет срабатывать селектор. Вы можете выбрать существующий фильтр или создать новый фильтр. Для создания нового фильтра выберите значение Создать. Если вы хотите изменить параметры существующего фильтра, нажмите рядом с ним на значок карандаша Фильтрация по данным из поля события Extra Последовательность условий, указанных в фильтре селектора корреляционного правила, имеет значение и влияет на производительность системы. Мы рекомендуем на первое место в фильтре селектора ставить наиболее уникальный критерий отбора. Рассмотрим два примера фильтров селектора, осуществляющих выборку событий успешной аутентификации в Microsoft Windows. Фильтр селектора 1: Условие 1 – Условие 2 – Фильтр селектора 2: Условие 1 – Условие 2 – Последовательность условий, указанная в фильтре селектора 2, является более предпочтительной, так как показывает меньшую нагрузку на систему. |
.
.На вкладке Локальные переменные вы можете добавить переменные, которые будут действовать в пределах правила корреляции. Для добавления переменной нажмите на кнопку + Добавить, после чего укажите переменную и ее значение. Вы можете добавить несколько переменных и удалить переменные. Для удаления переменной установите рядом с ней флажок и нажмите на кнопку Удалить.
Вкладка Действия
Эта вкладка используется для настройки триггера правила корреляции. В правиле корреляции с типом operational может быть только один триггер, который срабатывает каждый раз, когда контейнер регистрирует срабатывание селектора. Доступные параметры триггера описаны в таблице ниже.
Параметр | Описание |
|---|---|
Обновление активных листов | Операции с активными листами. Для создания операции с активным листом нажмите на кнопку + Добавить действие с активным листом. Доступные параметры операции с активным листом:
Вы можете создать несколько операций с активными листами, изменить порядок операций с активными листами и удалить операции с активными листами. Для изменения порядка операций с активными листами используйте значки изменения порядка |
Обновление контекстных таблиц | Операции с контекстными таблицами. Для создания операции с контекстной таблицей нажмите на кнопку + Добавить действие с контекстной таблицей. Доступные параметры операции с контекстной таблицей:
Вы можете создать несколько операций с контекстными таблицами, изменить порядок операций с контекстными таблицами и удалить операции с контекстными таблицами. Для изменения порядка операций с контекстными таблицами используйте значки изменения порядка |
. Для удаления операции с активным листом нажмите рядом с ней на значок удаления 
.Вкладка Корреляторы
Эта вкладка отображается только при изменении параметров созданного правила корреляции и используется для привязки правила корреляции к коррелятору.
Для привязки правила корреляции к коррелятору нажмите на кнопку Привязать к сервису → Привязать к коррелятору, в открывшемся окне укажите один или несколько корреляторов и нажмите на кнопку ОК. Правило корреляции будет привязано к указанным корреляторам и добавлено последним в очередь для выполнения в параметрах корреляторов. Если вы хотите изменить позицию правила корреляции в очереди для выполнения, перейдите в раздел Ресурсы → Коррелятор, нажмите на коррелятор, в открывшемся окне перейдите в раздел Корреляция, установите флажок рядом с правилом корреляции и измените позицию правила корреляции, нажимая на кнопки Поднять и Опустить.
Вы можете добавить несколько корреляторов и удалить корреляторы. Для этого нужно установить флажок рядом с коррелятором, нажать на кнопку Удалить и подтвердить удаление.
