Предустановленные правила корреляции

Название правила корреляции

Описание

[OOTB][DEMO] KATA alert

Используется для обогащения событий KATA.

[OOTB] [DEMO] Successful Bruteforce

Срабатывает после выявления успешной попытки аутентификации после множества неуспешных попыток аутентификации. Правило работает на основе событий демона sshd.

[OOTB][DEMO][AD] Account created and deleted within a short period of time

Выявляет факты создания и последующего удаления учетных записей на хостах на базе ОС Microsoft Windows.

[OOTB][DEMO][AD] An account failed to log on from different hosts

Выявляет множественные неуспешные попытки аутентификации на различных хостах.

[OOTB][DEMO][AD] Membership of sensitive group was modified

Работает на базе событий ОС Microsoft Windows.

[OOTB][DEMO][AD] Multiple accounts failed to log on from the same host

Срабатывает после выявления множественных неуспешных попыток аутентификации на одном хосте от имени разных учетных записей.

[OOTB][DEMO][AD] Successful authentication with the same account on multiple hosts

Выявляет подключения на разные хосты под одной учетной записью. Правило работает на основе событий ОС Microsoft Windows.

[OOTB][DEMO][AD] The account added and deleted from the group in a short period of time

Выявляет добавление и последующее удаление пользователя из группы. Правило работает на основе событий ОС Microsoft Windows.

[OOTB][DEMO][Net] Possible port scan

Выявляет подозрения на сканирование порта. Правило работает на основе событий Netflow, Ipfix.

[OOTB][Net] Detection unknown assets in source fields

Правило позволяет выявлять активы, которые ранее не были зарегистрированы SIEM-системой. Правило сработает после выявления системой в событиях хостов, ранее не зарегистрированных в качестве активов, и имеющих IP-адрес или имя.

[OOTB][Net] Detection unknown assets in device fields

Правило позволяет выявлять активы, которые ранее не были зарегистрированы SIEM-системой. Правило сработает после выявления системой в событиях хостов, ранее не зарегистрированных в качестве активов, и имеющих IP-адрес или имя.

[OOTB][Net] Detection unknown assets in destination fields

Правило позволяет выявлять активы, которые ранее не были зарегистрированы SIEM-системой. Правило сработает после выявления системой в событиях хостов, ранее не зарегистрированных в качестве активов, и имеющих IP-адрес или имя.