Скопировано

13 октября 2026

ID 217787

Создание коррелятора

Вы можете создать коррелятор в веб-интерфейсе Kaspersky SIEM одним из следующих способов:

В разделе Ресурсы нажмите Создать коррелятор.
В разделе Ресурсы → Корреляторы на вкладке Текущий нажмите Создать.

Создание коррелятора состоит из следующих этапов:

Настройка основных параметров коррелятора

В разделе Общие на вкладке Основные параметры заполните следующие поля:
- В поле Название введите уникальное имя коррелятора. Название должно содержать от 1 до 128 символов в кодировке Unicode.
- В раскрывающемся списке Тенант выберите тенант, которому будет принадлежать коррелятор. От выбора тенанта зависит, какие ресурсы будут доступны при его создании.
  Если при создании коррелятора вы вернетесь в раздел Общие и выберите другой тенант, вам потребуется вручную изменить все ресурсы, которые вы успели добавить в сервис. В сервис можно добавлять только ресурсы из выбранного и Общего тенантов.
- При необходимости в поле Обработчики укажите количество обработчиков, которые коррелятор может запускать одновременно для параллельной обработки событий. Укажите целое положительное число от 0 до 999. Если указано 0, то используется число логических ядер CPU.
- В поле Время загрузки геоданных укажите максимальное время ожидания загрузки геоданных (GeoIP-информации) при выполнении правил обогащения с типом источника данных геоданные. Значение по умолчанию: 120 секунд.
- При необходимости в раскрывающемся списке Теги выберите теги для коррелятора.
- При необходимости в поле Описание добавьте описание сервиса: до 256 символов в кодировке Unicode.
На вкладке Дополнительные параметры заполните следующие поля:
- При необходимости с помощью переключателя Отладка включите логирование операций сервиса.
- Переключатель Периодическое создание дампа используется по запросу техподдержки для генерации отчетов по потреблению ресурсов (cpu, ram и т.д.) в виде дампов.
- В поле Настройки дампа вы можете указать параметры создания дампа. Порядок заполнения этого поля уточняйте у техподдержки.
- В поле Число входящих запросов в очереди укажите максимальное число запросов на вставку событий в базу данных, которые могут одновременно находиться в очереди на обработку коррелятором.

Добавление глобальных переменных

Если для некоторых сценариев обеспечения безопасности недостаточно отслеживать значения в полях событий, активных листах или словарях, вы можете воспользоваться глобальными и локальными переменными. Эти переменные позволяют выполнять различные действия над поступающими в корреляторы значениями, реализуя сложную логику выявления угроз. Переменным можно присвоить какую-либо функцию, а затем обращаться к ним из правил корреляции, как к обычным полям событий, получая в ответ результат срабатывания функции.

Чтобы добавить глобальную переменную в корреляторе:

В разделе Глобальные переменные нажмите на кнопку Добавить.
Укажите следующие параметры:
1. В окне Переменная введите название переменной.
  Требования к наименованию переменных
  - Должно быть уникально в рамках коррелятора.
  - Должно содержать от 1 до 128 символов в кодировке Unicode.
  - Не может начинаться с символа $.
  - Должно быть написано в camelCase или CamelCase.
2. В окне Значение введите функцию переменной.
  При вводе функций поддерживается автодополнение в виде списка подсказок с возможными вариантами имен функций, их кратким описанием и примерами использования. Вы можете выбрать нужную функцию из списка и вставить ее вместе со списком аргументов в поле ввода.
  
  Для вызова списка всех подсказок в поле ввода используйте комбинацию клавиш Ctrl + Space. Для выбора нужной функции из списка используйте клавишу Enter. Для перехода к следующему аргументу в списке аргументов выбранной функции используйте клавишу Tab.
  
  Описание функций переменных.

Глобальная переменная добавлена. К ней можно обращаться из правил корреляции, добавляя перед названием переменной символ $. Переменных может быть несколько. Добавленные переменные можно изменить или удалить с помощью значка .

Добавление правила корреляции

Вы можете выбрать или создать правила корреляции. В них задаются последовательности событий, указывающих на происшествия, связанные с безопасностью: при обнаружении таких последовательностей коррелятор создает корреляционное событие и алерт.

Если вы добавили в коррелятор глобальные переменные, все добавленные правила корреляции могут к ним обращаться.

Чтобы добавить правило корреляции:

В разделе Корреляция нажмите на кнопку Добавить.
Укажите параметры для правила корреляции. Набор доступных параметров зависит от выбранного типа правила корреляции:

Правило корреляции создано и привязано к набору ресурсов для коррелятора. Оно отображается в таблице правил корреляции, а также в списке ресурсов в разделе Ресурсы → Правила корреляции.

С помощью поля Поиск можно искать правила корреляции. Добавленные правила корреляции можно убрать из набора ресурсов, выбрав нужные правила и нажав Удалить.

При выборе правила корреляции открывается окно с его параметрами: параметры можно изменить и Сохранить. При нажатии в этом окне на кнопку Удалить, правило корреляции отвязывается от набора ресурсов.

С помощью кнопок Поднять и Опустить можно изменять положение выбранных правил корреляции в таблице правил корреляции, что отражается на последовательности их выполнения при обработке событий. С помощью кнопки Поднять operational-правила можно переместить правила корреляции типа operational в начало списка правил корреляции.

Обогащение событий (необязательный этап)

Вы можете выбрать или создать правила обогащения с указанием, какими данными и из каких источников следует дополнить создаваемые коррелятором корреляционные события. Правил обогащения может быть несколько. Их можно добавить с помощью кнопки Добавить обогащение или удалить с помощью кнопки .

Чтобы добавить правило обогащения:

В разделе Обогащение нажмите на кнопку Добавить обогащение.
В раскрывающемся списке Правило обогащения выберите нужное правило или создайте новое, нажав Создать.
Если вы выбрали правило обогащения из списка, то в разделе Обогащение отобразятся параметры выбранного правила.
В поле Название укажите уникальное название для правила обогащения.

В раскрывающемся списке Тип источника данных выберите, откуда будут поступать данные для обогащения, и заполните относящиеся к нему параметры:

проверка DLL Hijacking

С помощью переключателя Отладка укажите, следует ли включить логирование операций сервиса. По умолчанию логирование выключено.
В блоке параметров Фильтр можно задать условия определения событий, которые будут обрабатываться с применением правила обогащения. В раскрывающемся списке можно выбрать существующий фильтр или Создать новый фильтр.
Создание фильтра в ресурсах
Все поля события KUMA имеют значение по умолчанию. Для всех числовых полей это значение равно 0. Для всех строковых полей значение по умолчанию – пустая строка. Если событие не имеет какого-то поля, это значит, что полю присвоено значение по умолчанию. Поэтому фильтр может сработать на событие, даже если у этого события нет указанного в фильтре поля. Например, если вы в фильтре указали условие DestinationPort <= 1024, но событие не содержит поля DestinationPort, фильтр сработает, так как по умолчанию DestinationPort = 0.

Чтобы создать фильтр:
1. В раскрывающемся списке Фильтр выберите Создать.
2. Если вы хотите сохранить фильтр и использовать его в качестве фильтра для других ресурсов, установите флажок Сохранить фильтр. По умолчанию флажок снят.
3. Если вы установили флажок Сохранить фильтр, в поле Название введите название нового фильтра. Максимальная длина названия: до 128 символов в кодировке Unicode.
4. Выберите режим создания фильтра: Конструктор или Код.
  При формировании условий фильтрации вы можете переключаться между режимами. При переключении между режимами сформированные условия фильтров сохраняются. Если после привязки созданного фильтра к ресурсу на вкладке Код не отображается код фильтра, выберите вкладку Конструктор, после чего снова выберите вкладку Код для отображения кода фильтра.
5. Если вы выбрали вариант Конструктор, выполните следующие действия:
  1. В раскрывающемся списке выберите логический оператор:
    - И – отбирает события, которые соответствуют всем указанным условиям.
    - ИЛИ – отбирает события, которые соответствуют одному из указанных условий.
    - НЕ – отбирает события, которые не соответствуют всем указанным условиям.
  2. Нажмите на кнопку Добавить условие.
  3. Если вы хотите добавить отрицательное условие, в раскрывающемся списке Если выберите Если не.
  4. В последовательно отображающихся раскрывающихся списках выберите операнды и операторы фильтра.
    Операнды фильтров
    Поля событий – поле события, которое требуется использовать как операнд фильтра.
    Активные листы – активный лист или поле активного листа, которое требуется использовать как операнд фильтра. При выборе активного листа укажите одно или несколько полей событий, которые используются для создания записи активного листа и выступают ключом записи активного листа. Для завершения указания полей событий нажмите комбинацию клавиш Ctrl/Command+F1.
    Если вы не указали оператор inActiveList, вам нужно указать имя поля активного листа, которое требуется использовать как операнд фильтра.
    
    Словари – значение из ресурса словарь, которое требуется присвоить операнду. Дополнительные параметры:
    словарь (обязательно) – словарь, который требуется использовать.
    ключевые поля (обязательно) – поля событий, которые используются для формирования ключа значения словаря.
    Контекстные таблицы – в этом разделе вы можете указать значение контекстной таблицы, которое требуется использовать как операнд фильтра. При выборе контекстной таблицы вам нужно указать поле события.
    название контекстной таблицы (обязательно) – контекстная таблица, которую требуется использовать.
    ключевые поля (обязательно) – поля событий или локальные переменные, которые используются для создания записи контекстной таблицы и выступают ключом записи контекстной таблицы.
    поле – имя поля контекстной таблицы, из которого требуется извлечь значение операнда.
    индекс – индекс списочного поля таблицы, из которого требуется извлечь значение операнда.
    Таблицы – пользовательские значения, которые требуется присвоить операнду. Дополнительные параметры:
    словарь (обязательно) – тип словаря. Вам нужно выбрать тип словаря Таблица.
    ключевые поля (обязательно) – поля событий, которые используются для формирования ключа значения словаря.
    TI – параметры чтения данных Kaspersky CyberTrace об угрозах (TI) из событий. Дополнительные параметры:
    поток (обязательно) – категория угрозы Kaspersky CyberTrace.
    ключевые поля (обязательно) – поле события с индикаторами угроз Kaspersky CyberTrace.
    поле (обязательно) – поле фида Kaspersky CyberTrace с индикаторами угроз.
    Константа – пользовательское значение, которое требуется присвоить операнду. Дополнительные параметры:
    значение (обязательно) – константа, которую требуется присвоить операнду.
    Список – пользовательские значения, которые требуется присвоить операнду. Дополнительные параметры:
    значение (обязательно) – константы, которые требуется присвоить операнду. Когда вы вводите значение в поле и нажимаете ENTER, значение добавляется в список, и вы можете ввести новое значение.
    Операторы фильтров
    = – левый операнд равен правому операнду.
    < – левый операнд меньше правого операнда.
    <= – левый операнд меньше или равен правому операнду.
    > – левый операнд больше правого операнда.
    >= – левый операнд больше или равен правому операнду.
    inSubnet – левый операнд (IP-адрес) находится в подсети правого операнда (подсети).
    contains – левый операнд содержит значения правого операнда.
    startsWith – левый операнд начинается с одного из значений правого операнда.
    endsWith – левый операнд заканчивается одним из значений правого операнда.
    match – левый операнд соответствует регулярному выражению правого операнда. Используются регулярные выражения RE2.
    hasBit – установлены ли в левом операнде (в строке или числе), биты, позиции которых перечислены в правом операнде (в константе или в списке).
    Проверяемое значение переводится в двоичную систему счисления, после чего рассматривается справа налево. Проверяются символы, индекс которых указан в качестве константы или списка.
    
    Если проверяемое значение – это строка, то производится попытка перевести ее в целое число и обработать указанным выше способом. Если перевести строку в число невозможно, фильтр возвращает False.
    
    hasVulnerability – находится ли в левом операнде актив с уязвимостью и уровнем важности уязвимости, указанными в правом операнде.
    Если идентификатор и значение важности уязвимости не указаны, фильтр будет срабатывать при наличии любых уязвимостей у актива в проверяемом событии.
    
    inActiveList – этот оператор имеет только один операнд. Его значения выбираются в поле Ключевые поля и сравниваются с записями активного листа, выбранного в раскрывающемся списке активных листов.
    inDictionary – присутствует ли в указанном словаре запись, соответствующая ключу, составленному из значений выбранных полей события.
    inCategory – активу в левом операнде назначена по крайней мере одна из категорий активов правого операнда.
    inActiveDirectoryGroup – учетная запись Active Directory в левом операнде принадлежит одной из групп Active Directory в правом операнде.
    TIDetect – этот оператор используется для поиска событий с данными Kaspersky CyberTrace. Этот оператор можно использовать только на событиях, прошедших обогащение данными из Kaspersky CyberTrace, то есть только в коллекторах на этапе выбора точки назначения и в корреляторах.
    inContextTable – присутствует ли в указанной контекстной таблице запись.
    intersect – находятся ли в левом операнде элементы списка, указанные в списке в правом операнде.
    Если вы хотите, чтобы оператор игнорировал регистр значений, установите флажок без учета регистра. Действие не распространяется на операторы InSubnet, InActiveList, InCategory, InActiveDirectoryGroup, hasBit и inDictionary. По умолчанию флажок снят.
    
    Вы можете изменить и удалить указанный оператор. Для изменения оператора нажмите на него и укажите новый оператор. Для удаления оператора нажмите на него и затем нажмите на клавишу Backspace.
  5. Если вы хотите добавить группу условий для фильтра, нажмите на кнопку Добавить группу.
    Вы можете добавить несколько групп условий.
6. Если вы выбрали вариант Код, укажите текстовую команду фильтра.
  В правой части конструктора отображается навигатор для перемещения по коду фильтра. Перенос строк выполняется автоматически по логическим операторам И, ИЛИ, НЕ или запятым, являющимися разделителем элементов списка значений.
7. Если вы хотите изменить порядок условий фильтрации, используйте значки изменения порядка . Если вы хотите удалить условие, нажмите на значок удаления .
8. Нажмите Сохранить.

В набор ресурсов для коррелятора добавлено новое правило обогащения.

Добавление правила реагирования (необязательный этап)

Вы можете выбрать или создать правила реагирования с указанием, какие действия требуется выполнить при срабатывании правил корреляции. Правил реагирования может быть несколько. Их можно добавить с помощью кнопки Добавить правило реагирования или удалить с помощью кнопки .

Чтобы добавить правило реагирования:

В разделе Реагирование нажмите на кнопку Добавить правило реагирования.
В раскрывающемся списке Правило реагирования выберите нужное правило или создайте новое, нажав Создать.
Если вы выбрали правило реагирования из списка, то в разделе Реагирование отобразятся параметры выбранного правила.
В раскрывающемся списке Тип выберите тип правила реагирования и заполните относящиеся к нему параметры:
- Реагирование через KSC – правила реагирования для автоматического запуска задач на активах Kaspersky Security Center. Например, вы можете настроить автоматический запуск антивирусной проверки или обновление базы данных.
  Автоматический запуск задач выполняется при интеграции KUMA с Kaspersky Security Center. Задачи запускаются только на активах, импортированных из Kaspersky Security Center.
  
  Параметры реагирования
  - Задача Kaspersky Security Center (обязательно) – название задачи Kaspersky Security Center, которую требуется запустить. Задачи должны быть созданы заранее, и их названия должны начинаться со слова "KUMA ". Например, "KUMA antivirus check".
    Типы задач Kaspersky Security Center, которые можно запустить с помощью KUMA:
    - обновление;
    - поиск вирусов.
  - Поле события (обязательно) – определяет поле события для актива, для которого нужно запустить задачу Kaspersky Security Center. Возможные значения:
    - SourceAssetID
    - DestinationAssetID
    - DeviceAssetID
  Для отправки запросов в Kaspersky Security Center необходимо убедиться, что Kaspersky Security Center доступен по протоколу UDP.
- Запуск скрипта – правила реагирования для автоматического запуска скрипта. Например, вы можете создать скрипт с командами, которые требуется выполнить на сервере KUMA при обнаружении выбранных событий.
  Файл скрипта хранится на сервере, где установлен сервис коррелятора, использующий ресурс реагирования: /opt/kaspersky/kuma/correlator/<Идентификатор коррелятора>/scripts.
  
  Пользователю kuma этого сервера требуются права на запуск скрипта.
  
  Параметры реагирования
  - Время ожидания – количество секунд, которое выждет система, прежде чем запустить скрипт.
  - Название скрипта (обязательно) – имя файла скрипта.
    Если ресурс реагирования прикреплен к сервису коррелятора, однако в папке /opt/kaspersky/kuma/correlator/<Идентификатор коррелятора>/scripts файл скрипта отсутствует, коррелятор не будет работать.
  - Аргументы скрипта – параметры или значения полей корреляционных событий, которые необходимо передать скрипту.
    Если в скрипте производятся какие-либо действия с файлами, к ним следует указывать абсолютный путь.
    
    Параметры можно обрамлять кавычками (").
    
    Имена полей корреляционных событий передаются в формате {{.EventField}}, где EventField – это имя поля события, значение которого должно быть передано в скрипт.
    
    Пример: -n "\"usr\": {{.SourceUserName}}"
- Реагирование через KEDR – правила реагирования для автоматического создания правил запрета, запуска сетевой изоляции или запуска программы на активах Kaspersky Endpoint Detection and Response и Kaspersky Security Center.
  Автоматические действия по реагированию выполняются при интеграции KUMA с Kaspersky Endpoint Detection and Response.
  
  Параметры реагирования
  - Поле события (обязательно) – поле события с активом, для которого нужно выполнить действия по реагированию. Возможные значения:
    - SourceAssetID.
    - DestinationAssetID.
    - DeviceAssetID.
  - Тип задачи – действие по реагированию, которое требуется выполнить при получении данных, соответствующих фильтру. Доступны следующие типы действий по реагированию:
    - Включить сетевую изоляцию.
      При выборе этого типа реагирования вам нужно задать значения для следующих параметров:
      
      Срок действия изоляции – количество часов, в течение которых будет действовать сетевая изоляция актива. Вы можете указать от 1 до 9999 часов.
      При необходимости вы можете добавить исключение для сетевой изоляции.
      
      Чтобы добавить исключение для сетевой изоляции:
      
      Нажмите на кнопку Добавить исключение.
      Выберите направление сетевого трафика, которое не должно быть заблокировано:
      Входящее.
      Исходящее.
      Входящее/Исходящее.
      В поле IP актива введите IP-адрес актива, сетевой трафик которого не должен быть заблокирован.
      Если вы выбрали Входящее или Исходящее, укажите порты подключения в полях Удаленные порты и Локальные порты.
      Если вы хотите добавить более одного исключения, нажмите на кнопку Добавить исключение и повторите действия по заполнению полей Направление трафика, IP актива, Удаленные порты и Локальные порты.
      Если вы хотите удалить исключение, нажмите на кнопку Удалить под нужным вам исключением.
      При добавлении исключений в правило сетей изоляции Kaspersky Endpoint Detection and Response может некорректно отображать значения портов в информации о правиле. Это не влияет на работоспособность программы. Подробнее о просмотре правила сетевой изоляции см. в справке Kaspersky Anti Targeted Attack Platform.
    - Выключить сетевую изоляцию.
    - Добавить правило запрета.
      При выборе этого типа реагирования вам нужно задать значения для следующих параметров:
      
      Поля события для получения хеш-суммы – поля событий, из которых KUMA извлекает SHA256- или MD5-хеши файлов, запуск которых требуется запретить.
      Выбранные поля событий, а также значения, выбранные в Поле события, требуется добавить в наследуемые поля правила корреляции.
      
      Хеш файла №1 – SHA256- или MD5-хеш файла, который требуется запретить.
      Хотя бы одно из указанных выше полей должно быть заполнено.
    - Удалить правило запрета.
    - Запустить программу.
      При выборе этого типа реагирования вам нужно задать значения для следующих параметров:
      
      Путь к файлу – путь к файлу процесса, который вы хотите запустить.
      Аргументы командной строки – параметры, с которыми вы хотите запустить файл.
      Текущая директория – директория, в которой на момент запуска располагается файл.
      При срабатывании правила реагирования для пользователей с ролью главный администратор в разделе Диспетчер задач веб-интерфейса программы отобразится задача Запустить программу. В столбце Создал таблицы задач для этой задачи отображается Задача по расписанию. Вы можете просмотреть результат выполнения задачи.
      
      Все перечисленные операции выполняются на активах с Kaspersky Endpoint Agent для Windows. На активах с Kaspersky Endpoint Agent для Linux выполняется только запуск программы.
      
      На программном уровне возможность создания правил запрета и сетевой изоляции для активов с Kaspersky Endpoint Agent для Linux не ограничена. KUMA и Kaspersky Endpoint Detection and Response не уведомляют о неуспешном применении этих правил.
- Реагирование через KICS/KATA – правила реагирования для автоматического запуска задач в на активах KICS for Networks. Например, изменить статус актива в KICS for Networks.
  Автоматический запуск задач выполняется при интеграции KUMA с KICS for Networks.
  
  Параметры реагирования
  - Поле события (обязательно) – поле события с активом, для которого нужно выполнить действия по реагированию. Возможные значения:
    - SourceAssetID.
    - DestinationAssetID.
    - DeviceAssetID.
  - Статус актива в KICS/KATA – статус, который нужно установить для указанного актива. Доступны следующие значения:
    - Неавторизованный.
    - Авторизованный.
    При срабатывании правила реагирования из KUMA в KICS/KATA будет отправлен API-запрос на изменение статуса указанного актива на выбранный статус.
- Реагирование через Active Directory – правила реагирования для изменения прав пользователей Active Directory. Например, блокировать пользователя.
  Запуск задач выполняется при интеграции с Active Directory.
  
  Параметры реагирования
  - Источник идентификатора учетной записи– поле события, откуда будет взято значение идентификатора учетной записи Active Directory. Возможные значения:
    - SourceAccountID.
    - DestinationAccountID.
  - Команда Active Directory – команда, которая будет применяться к учетной записи при срабатывании правила реагирования. Доступные значения
    - Добавить учетную запись в группу.
    - Удалить учетную запись из группы.
    - Сбросить пароль учетной записи.
    - Блокировать учетную запись.
В поле Обработчики укажите количество обработчиков, которые коррелятор может запускать одновременно для параллельной обработки событий. Укажите целое положительное число от 0 до 999. Если указано 0, то используется число логических ядер CPU.
Поле не обязательно для заполнения.
В блоке параметров Фильтр можно задать условия определения событий, которые будут обрабатываться с применением правила реагирования. В раскрывающемся списке можно выбрать существующий фильтр или Создать новый фильтр.
Создание фильтра в ресурсах
Все поля события KUMA имеют значение по умолчанию. Для всех числовых полей это значение равно 0. Для всех строковых полей значение по умолчанию – пустая строка. Если событие не имеет какого-то поля, это значит, что полю присвоено значение по умолчанию. Поэтому фильтр может сработать на событие, даже если у этого события нет указанного в фильтре поля. Например, если вы в фильтре указали условие DestinationPort <= 1024, но событие не содержит поля DestinationPort, фильтр сработает, так как по умолчанию DestinationPort = 0.

Чтобы создать фильтр:
1. В раскрывающемся списке Фильтр выберите Создать.
2. Если вы хотите сохранить фильтр и использовать его в качестве фильтра для других ресурсов, установите флажок Сохранить фильтр. По умолчанию флажок снят.
3. Если вы установили флажок Сохранить фильтр, в поле Название введите название нового фильтра. Максимальная длина названия: до 128 символов в кодировке Unicode.
4. Выберите режим создания фильтра: Конструктор или Код.
  При формировании условий фильтрации вы можете переключаться между режимами. При переключении между режимами сформированные условия фильтров сохраняются. Если после привязки созданного фильтра к ресурсу на вкладке Код не отображается код фильтра, выберите вкладку Конструктор, после чего снова выберите вкладку Код для отображения кода фильтра.
5. Если вы выбрали вариант Конструктор, выполните следующие действия:
  1. В раскрывающемся списке выберите логический оператор:
    - И – отбирает события, которые соответствуют всем указанным условиям.
    - ИЛИ – отбирает события, которые соответствуют одному из указанных условий.
    - НЕ – отбирает события, которые не соответствуют всем указанным условиям.
  2. Нажмите на кнопку Добавить условие.
  3. Если вы хотите добавить отрицательное условие, в раскрывающемся списке Если выберите Если не.
  4. В последовательно отображающихся раскрывающихся списках выберите операнды и операторы фильтра.
    Операнды фильтров
    Поля событий – поле события, которое требуется использовать как операнд фильтра.
    Активные листы – активный лист или поле активного листа, которое требуется использовать как операнд фильтра. При выборе активного листа укажите одно или несколько полей событий, которые используются для создания записи активного листа и выступают ключом записи активного листа. Для завершения указания полей событий нажмите комбинацию клавиш Ctrl/Command+F1.
    Если вы не указали оператор inActiveList, вам нужно указать имя поля активного листа, которое требуется использовать как операнд фильтра.
    
    Словари – значение из ресурса словарь, которое требуется присвоить операнду. Дополнительные параметры:
    словарь (обязательно) – словарь, который требуется использовать.
    ключевые поля (обязательно) – поля событий, которые используются для формирования ключа значения словаря.
    Контекстные таблицы – в этом разделе вы можете указать значение контекстной таблицы, которое требуется использовать как операнд фильтра. При выборе контекстной таблицы вам нужно указать поле события.
    название контекстной таблицы (обязательно) – контекстная таблица, которую требуется использовать.
    ключевые поля (обязательно) – поля событий или локальные переменные, которые используются для создания записи контекстной таблицы и выступают ключом записи контекстной таблицы.
    поле – имя поля контекстной таблицы, из которого требуется извлечь значение операнда.
    индекс – индекс списочного поля таблицы, из которого требуется извлечь значение операнда.
    Таблицы – пользовательские значения, которые требуется присвоить операнду. Дополнительные параметры:
    словарь (обязательно) – тип словаря. Вам нужно выбрать тип словаря Таблица.
    ключевые поля (обязательно) – поля событий, которые используются для формирования ключа значения словаря.
    TI – параметры чтения данных Kaspersky CyberTrace об угрозах (TI) из событий. Дополнительные параметры:
    поток (обязательно) – категория угрозы Kaspersky CyberTrace.
    ключевые поля (обязательно) – поле события с индикаторами угроз Kaspersky CyberTrace.
    поле (обязательно) – поле фида Kaspersky CyberTrace с индикаторами угроз.
    Константа – пользовательское значение, которое требуется присвоить операнду. Дополнительные параметры:
    значение (обязательно) – константа, которую требуется присвоить операнду.
    Список – пользовательские значения, которые требуется присвоить операнду. Дополнительные параметры:
    значение (обязательно) – константы, которые требуется присвоить операнду. Когда вы вводите значение в поле и нажимаете ENTER, значение добавляется в список, и вы можете ввести новое значение.
    Операторы фильтров
    = – левый операнд равен правому операнду.
    < – левый операнд меньше правого операнда.
    <= – левый операнд меньше или равен правому операнду.
    > – левый операнд больше правого операнда.
    >= – левый операнд больше или равен правому операнду.
    inSubnet – левый операнд (IP-адрес) находится в подсети правого операнда (подсети).
    contains – левый операнд содержит значения правого операнда.
    startsWith – левый операнд начинается с одного из значений правого операнда.
    endsWith – левый операнд заканчивается одним из значений правого операнда.
    match – левый операнд соответствует регулярному выражению правого операнда. Используются регулярные выражения RE2.
    hasBit – установлены ли в левом операнде (в строке или числе), биты, позиции которых перечислены в правом операнде (в константе или в списке).
    Проверяемое значение переводится в двоичную систему счисления, после чего рассматривается справа налево. Проверяются символы, индекс которых указан в качестве константы или списка.
    
    Если проверяемое значение – это строка, то производится попытка перевести ее в целое число и обработать указанным выше способом. Если перевести строку в число невозможно, фильтр возвращает False.
    
    hasVulnerability – находится ли в левом операнде актив с уязвимостью и уровнем важности уязвимости, указанными в правом операнде.
    Если идентификатор и значение важности уязвимости не указаны, фильтр будет срабатывать при наличии любых уязвимостей у актива в проверяемом событии.
    
    inActiveList – этот оператор имеет только один операнд. Его значения выбираются в поле Ключевые поля и сравниваются с записями активного листа, выбранного в раскрывающемся списке активных листов.
    inDictionary – присутствует ли в указанном словаре запись, соответствующая ключу, составленному из значений выбранных полей события.
    inCategory – активу в левом операнде назначена по крайней мере одна из категорий активов правого операнда.
    inActiveDirectoryGroup – учетная запись Active Directory в левом операнде принадлежит одной из групп Active Directory в правом операнде.
    TIDetect – этот оператор используется для поиска событий с данными Kaspersky CyberTrace. Этот оператор можно использовать только на событиях, прошедших обогащение данными из Kaspersky CyberTrace, то есть только в коллекторах на этапе выбора точки назначения и в корреляторах.
    inContextTable – присутствует ли в указанной контекстной таблице запись.
    intersect – находятся ли в левом операнде элементы списка, указанные в списке в правом операнде.
    Если вы хотите, чтобы оператор игнорировал регистр значений, установите флажок без учета регистра. Действие не распространяется на операторы InSubnet, InActiveList, InCategory, InActiveDirectoryGroup, hasBit и inDictionary. По умолчанию флажок снят.
    
    Вы можете изменить и удалить указанный оператор. Для изменения оператора нажмите на него и укажите новый оператор. Для удаления оператора нажмите на него и затем нажмите на клавишу Backspace.
  5. Если вы хотите добавить группу условий для фильтра, нажмите на кнопку Добавить группу.
    Вы можете добавить несколько групп условий.
6. Если вы выбрали вариант Код, укажите текстовую команду фильтра.
  В правой части конструктора отображается навигатор для перемещения по коду фильтра. Перенос строк выполняется автоматически по логическим операторам И, ИЛИ, НЕ или запятым, являющимися разделителем элементов списка значений.
7. Если вы хотите изменить порядок условий фильтрации, используйте значки изменения порядка . Если вы хотите удалить условие, нажмите на значок удаления .
8. Нажмите Сохранить.

В набор ресурсов для коррелятора добавлено новое правило реагирования.

Добавление точки назначения (необязательный этап)

Вы можете выбрать или создать точки назначения, в параметрах которых будут определено, куда следует перенаправлять созданные коррелятором события. Обычно события от коррелятора перенаправляются в хранилище для хранения и для возможности просматривать их позднее. При необходимости события можно отправлять в другие места. Точек назначения может быть несколько.

Чтобы добавить точку назначения:

В разделе Маршрутизация нажмите на кнопку Добавить.
В открывшемся окне в поле Точка назначения выберите тип точки назначения, которую вы хотите добавить, или создайте новую, нажав Создать и настроив следующие параметры:
1. На вкладке Основные параметры в поле Название введите уникальное имя точки назначения. Название должно содержать от 1 до 128 символов в кодировке Unicode.
2. С помощью переключателя Состояние вы можете при необходимости включить или выключить сервис.
3. В раскрывающемся списке Тип выберите тип точки назначения. Доступны следующие значения:
4. На вкладке Дополнительные параметры укажите значения для параметров настройки. Набор параметров для настройки зависит от типа точки назначения, выбранного на вкладке Основные параметры. Более подробная информация о параметрах и значениях доступна по ссылке для каждого типа точки назначения в пункте c. этой инструкции.

В набор ресурсов для коррелятора добавлена новая точка назначения.

Проверка параметров коррелятора

На этом этапе в KUMA создается набор ресурсов для сервиса и на основе этого набора автоматически создаются сервисы:

Набор ресурсов для коррелятора отображается в разделе Ресурсы → Корреляторы. Его можно использовать для создания новых сервисов коррелятора. При изменении этого набора ресурсов все сервисы, которые работают на его основе, будут использовать новые параметры, если сервисы перезапустить: для этого можно использовать кнопки Сохранить и перезапустить сервисы и Сохранить и обновить параметры сервисов.
Набор ресурсов можно изменять, копировать, переносить из папки в папку, удалять, импортировать и экспортировать, как другие ресурсы.
Сервисы отображаются в разделе Ресурсы → Активные сервисы. Созданные с помощью мастера установки сервисы выполняют функции внутри решения KUMA – для связи с внешними частями сетевой инфраструктуры необходимо установить аналогичные внешние сервисы на предназначенных для них серверах и устройствах. Например, внешний сервис коррелятора следует установить на сервере, предназначенном для обработки событий; внешние сервисы хранилища – на серверах с развернутой службой ClickHouse; внешние сервисы агентов – на тех устройствах Windows, где требуется получать и откуда необходимо пересылать события Windows.

Чтобы проверить параметры коррелятора:

Нажмите Сохранить и создать сервис.
В разделе Проверка параметров отображается таблица сервисов, созданных на основе набора ресурсов, выбранных в мастере установки. В нижней части окна отображаются примеры команд, с помощью которых необходимо установить внешние аналоги этих сервисов на предназначенные для них серверы и устройства.

Пример

sudo /opt/kaspersky/kuma/kuma correlator --core https://<FQDN>:<port> --pair.fingerprint <CA_certificate_ID> --id <service_ID> --api.port <API_port> --install

где:

<FQDN> – полное доменное имя сервера Ядра KUMA.

<port> – номер порта Ядра KUMA для внутренних коммуникаций (по умолчанию используется порт 7210).

<CA_certificate_ID> – идентификатор отпечатка CA-сертификата, используемый для проверки подлинности при подключении сервиса.

<service_ID> – идентификатор сервиса, скопированный из веб-интерфейса KUMA.

<API_port> – порт, используемый для связи с устанавливаемым компонентом.

Файл kuma можно найти внутри установщика в директории /kuma-ansible-installer/roles/kuma/files/.

Порт для связи с Ядром KUMA, идентификатор сервиса, идентификатор CA-сертификата и порт для связи с сервисом добавляются в команду автоматически. Также следует убедиться в сетевой связности системы KUMA и при необходимости открыть используемые ее компонентами порты.
Закройте окно создания коррелятора, нажав Создать.

После завершения создания и настройки коррелятора требуется установить коррелятор KUMA на сервере с помощью команды, скопированной из раздела Проверка параметров.

Назад Алгоритм работы коррелятора

Создание коррелятора NG Вперед

Вам помогла эта статья?

Что нам нужно улучшить?

Спасибо за ваш отзыв, вы помогаете нам становиться лучше!