Активные листы и контекстные таблицы в Kaspersky Unified Monitoring and Analysis Platform

Активные листы и контекстные таблицы — типы ресурсов в Kaspersky Unified Monitoring and Analysis Platform (далее KUMA), которые:

• используются для хранения данных и анализа событий по правилам корреляции;
• работают на уровне коррелятора;
• наполняются коррелятором, также могут наполняться вручную и через API;
• могут использоваться в разных корреляторах, для каждого содержимое будет различаться;
• подходят для хранения оперативных данных (IOC).

Активные листы

Активный лист — контейнер данных в формате «ключ-значение». Предназначен для быстрой записи и чтения динамических данных внутри коррелятора.

Например, в активный лист можно добавить IP-адреса с плохой репутацией. KUMA проверит события на наличие этих адресов и при совпадении создаст корреляционное событие.

Особенности активного листа:

• Обеспечивает оперативную работу с данными, которые доступны всем фильтрам и корреляционным правилам в корреляторе.
• Поддерживает взаимодействие как с компонентами коррелятора, так и с пользователями через веб-консоль и API.
• Работает в памяти коррелятора и для сохранения изменений использует Write-Ahead Log (WAL):
  • Каждое изменение состояния фиксируется в виде двоичного файла на жестком диске.
  • Каждой записи журнала присваивается уникальный идентификатор.
  • Поддерживаются сегментация и очистка журнала.

При работе с данными активного листа пользователь может:

• искать записи по имени;
• удалять записи;
• просматривать содержимое записей.

Контекстные таблицы

Контекстная таблица — усовершенствованный активный лист с расширенными возможностями. Позволяет хранить более сложные структуры данных в разных полях.

Контекстная таблица удобна для сценариев, в которых одному ключу должно соответствовать несколько значений. Например, если нужно отслеживать входы в одну учетную запись с разных устройств.

Особенности контекстной таблицы:

• Добавляется в коррелятор через фильтры или корреляционные правила.
• Поддерживает типизированные поля: строки, целые числа, числа с плавающей точкой, логический тип, timestamp, IP.
• Поддерживает массивы перечисленных типов.

При работе с контекстными таблицами пользователь может:

• определять список ключевых полей — таких полей может быть несколько;
• выполнять операции над массивами в правилах корреляции: подсчитывать уникальные значения, вычислять длину массива, обращаться к его конкретным элементам и объединять несколько значений.