Фильтры

Развернуть всё | Свернуть всё

Фильтры позволяют отбирать события на основании указанных условий. Вы можете использовать фильтры в коллекторах, корреляторах, хранилище, правилах корреляции, правилах обогащения, правилах агрегации, точках назначения, правилах реагирования и правилах сегментации. В сервисе коллектора фильтры используются для отображения событий, которые вы хотите передавать в KUMA. События, удовлетворяющие условиям фильтра, будут переданы в Kaspersky SIEM для дальнейшей обработки.

Вы можете использовать отдельные фильтры или встроенные фильтры, которые хранятся в сервисе или ресурсе, в котором они были созданы. Для ресурсов в полях ввода, кроме поля Описание, можно включить отображение непечатаемых символов.

Для ресурсов, использованных в фильтре, автоматически указывается их наименование. Поля, содержащие наименования связанных ресурсов, невозможно изменить. Названия категорий общих ресурсов не отображаются в фильтре, если вам не назначена роль Чтение общих ресурсов. Для просмотра списка ресурсов для выбранного операнда внутри выражения вам нужно нажать на комбинацию клавиш Ctrl+Space. В результате отобразится список ресурсов.

Чтобы просмотреть фильтры,

в веб-интерфейсе откройте раздел Ресурсы → Фильтры.

Откроется таблица фильтров.

Фильтры можно искать по названию с помощью поля Поиск. При поиске фильтров используются регулярные выражения.

Таблицу можно сортировать по названию, времени последнего обновления и по названию пакета, нажав на значок сортировки в заголовке столбца и выбрав По возрастанию или По убыванию.

Таблица фильтров содержит следующие столбцы:

• Название – название фильтра.
• Путь до ресурса – тенант, которому принадлежит фильтр.
• Последнее обновление – дата и время последнего обновления фильтра.
• Создал – имя пользователя, создавшего фильтр.
• Описание – информация о фильтре, которую вы можете добавить при необходимости.
• Теги – теги для поиска фильтра. Вы можете искать фильтры, нажав на значок сортировки в заголовке столбца и указав значение для поиска в поле Поиск или выбрав теги с помощью флажков.
• Название пакета – название пакета инструментов, предназначенного для обработки событий.

При создании фильтра необходимо указать операнды и операторы. Доступные типы операторов зависят от выбранного левого (L) и/или правого (R) операндов.

Доступные типы операторов для левого (L) и правого (R) операндов

Горячие клавиши при работе с фильтрами

При работе с фильтрами вы можете использовать горячие клавиши (см. таблицу ниже).

Горячие клавиши и их функциональность

Фильтры с расширенной схемой событий

Работа с полями типа Строка, Число и Число с плавающей точкой расширенной схемы событий в фильтрах не отличается от работы с полями схемы событий KUMA.

При использовании фильтров с полями расширенной схемы событий с типами полей Массив строк, Массив целых чисел и Массив чисел с плавающей точкой вы можете использовать следующие операторы:

• contains вернет значение True, если указанная подстрока присутствует в массиве, иначе вернет False.
• match – поиск в строке по регулярному выражению.
• intersec.

Предустановленные фильтры

В поставку KUMA включены перечисленные в таблице ниже фильтры.

Предустановленные фильтры