Алгоритм работы коррелятора

Алгоритм работы коррелятора состоит из следующих этапов:

Получение события

Коррелятор получает нормализованное событие от коллектора или другого сервиса.

Применение правил корреляции

Коррелятор анализирует полученное событие на соответствие условиям правил корреляции. Правила могут быть настроены для анализа отдельных событий или последовательностей событий. Если условия правила выполнены, коррелятор формирует результат корреляции и выполняет действия, заданные конфигурацией правила.

Обработка результата корреляции

В зависимости от конфигурации правила коррелятор может выполнять следующие действия:

• обогащать событие;
• выполнять операции с активными листами;
• выполнять операции с контекстными таблицами;
• формировать корреляционное событие;
• передавать результат на дальнейшую обработку.

Дополнительные действия могут выполняться с помощью настроенных правил обогащения, реагирования и маршрутизации.

Отправка корреляционного события

Если в результате анализа выявлена последовательность событий, удовлетворяющая условиям правила корреляции, коррелятор создает корреляционное событие.

В зависимости от конфигурации коррелятора корреляционное событие может быть отправлено в настроенную точку назначения или передано на повторный анализ в коррелятор. При повторном анализе корреляционное событие может использоваться другими правилами корреляции.