13 октября 2026
ID 217843
Использование словаря
Словари – это ресурсы, в которых хранятся данные, которые могут использоваться другими ресурсами и сервисами Kaspersky SIEM.
В поставку KUMA включены предустановленные словари, которые вы также можете использовать при создании правила корреляции, нормализатора, правила обогащения и фильтра.
Чтобы создать словарь:
- В веб-интерфейсе решения перейдите в раздел Ресурсы → Словари и нажмите кнопку Создать.
- В поле Название укажите уникальное имя словаря. Максимальная длина имени: до 128 символов в кодировке Unicode.
- В раскрывающемся списке Тенант выберите тенант, которому принадлежит словарь.
- В поле Описание введите описание словаря. Максимальная длина описания: до 4000 символов в кодировке Unicode.
- В раскрывающемся списке Теги выберите теги для словаря.
- В раскрывающемся списке Тип выберите тип словаря:
- Словарь
Вы можете добавлять пары Ключ – Значение. Мы не рекомендуем добавлять в словари этого типа более 50 000 записей через веб-интерфейс.
При добавлении в словарь строк с одинаковыми ключами каждая новая строка будет записана поверх уже существующей строки с тем же самым ключом. В итоге в словарь будет добавлена только одна строка.
- Таблица
Вы можете добавлять данные в виде сложных таблиц и взаимодействовать с такими словарями через REST API. При добавлении записей через API ограничение на их количество отсутствует. REST API позволяет считывать и изменять содержимое словарей типа Таблица, даже если они используются активными сервисами. Это дает возможность использовать для обогащения событий динамически обновляемые таблицы, загружаемые из сторонних приложений.
- Словарь
- В блоке параметров Значение настройте следующие параметры:
- Если вы хотите загрузить готовый файл со словарем, выберите вариант Импортировать CSV и импортируйте файл.
Формат CSV-файла зависит от типа словаря:
Для типа Словарь:
{КЛЮЧ},{ЗНАЧЕНИЕ}\n
Для типа Таблица:
{Заголовок столбца 1},{Заголовок столбца N},{Заголовок столбца N+1}\n
{Ключ1},{ЗначениеN},{ЗначениеN+1}\n
{Ключ2},{ЗначениеN},{ЗначениеN+1}\n
Ключи должны быть уникальными как в импортируемом CSV-файле, так и в словаре. В таблицах ключ указывается в первом столбце. Длина ключа должна составлять от 1 до 128 символов Unicode, значения – от 0 до 256 символов Unicode.
При импорте данные словаря полностью перезаписываются содержимым файла, а название ресурса заменяется именем импортированного файла.
Если в импортируемом файле обнаружены некорректные строки (например, содержащие неверные разделители), то при импорте в словарь такие строки пропускаются, а при импорте в таблицу вызывают ошибку и остановку процесса импорта.
- Если вы хотите добавить данные словаря вручную, выберите вариант Ввести данные вручную и выполните следующие действия в зависимости от выбранного типа словаря:
- Для типа Словарь добавьте пары Ключ – Значение.
Укажите уникальный ключ и соответствующее значение. При необходимости вы можете добавить несколько пар. Чтобы добавить новую строку таблицы, нажмите кнопку Добавить строку.
Максимальная длина ключа: 128 символов в кодировке Unicode, а длина значения – 255 символов в кодировке Unicode. Первый символ ключа и значения не может быть
$.Чтобы удалить строку, установите флажок напротив этой строки и нажмите кнопку Удалить.
- Для типа Таблица введите данные таблицы.
Введите данные таблицы. Вы можете добавлять и удалять строки и столбцы, а также изменять заголовки столбцов.
Чтобы добавить новую строку или столбец, нажмите кнопку Добавить строку или Добавить столбец. Чтобы удалить строку, установите флажок напротив этой строки и нажмите кнопку Удалить. Чтобы удалить столбец, нажмите значок с тремя точками рядом с заголовком столбца и выберите Удалить.
- Для типа Словарь добавьте пары Ключ – Значение.
- Если вы хотите загрузить готовый файл со словарем, выберите вариант Импортировать CSV и импортируйте файл.
- Нажмите кнопку Создать.
После создания словаря вы можете экспортировать его, нажав Экспортировать CSV в окне редактирования. При экспорте значения ключей и значений, содержащие запятую (,) или кавычки ("), заключаются в двойные кавычки. Внутренние кавычки экранируются удвоением (""").
