Производительность правил корреляции в Kaspersky Unified Monitoring and Analysis Platform

Вы можете ускорить выполнение правил корреляции в Kaspersky Unified Monitoring and Analysis Platform (далее KUMA), если будете соблюдать рекомендации:

• В настройках коррелятора в окне Редактирование коррелятора → Корреляция располагайте операционные правила наверху списка правил. Нажмите Поднять operational-правила, чтобы автоматически расположить их в начале списка.
• В настройках правила корреляции на вкладке Селекторы указывайте:
  • Уникальные условия в начале списка параметров, чтобы они срабатывали первыми. Например, правило 4688 → Base events → Microsoft Windows events будет выполнено быстрее, чем правило Microsoft Windows events → Base events → 4688.
    

    

  • Строгие условия (например, =) с полями из стандартной модели данных (например, не композитных полей S. или N.) выше, чем условия с операторами (например, contains или regex), если вы используете несколько селекторов.
  • Условия, в которых используется переменная со значением из активного листа, в конце списка параметров. Это позволит существенно уменьшить количество запросов к активному листу в секунду (Active Lists OPS).
  • Условия, которые содержат листы или словари, ближе к концу списка параметров.

Учитывайте следующее:

• Значение переменной в селекторе высчитывается при достижении событием условия с этой переменной. Если переменная находится в группирующем поле, ее значение высчитывается после прохождения всех условий селектора.
• В настройках правила корреляции на вкладке Действия использование полей *Extra, S, SA, N, NA, F, FA может замедлять работу правила.
• Градация очередности выполнения операций по весам в KUMA отсутствует.

Для мониторинга производительности правил корреляции используйте раздел Метрики → KUMA Collectors → KUMA Correlators.

Полезные ссылки:

Работа с правилами корреляции