Правило корреляции, тип simple

Название поля корреляционного события

Описание

StartTime

Дата и время создания базового события (timestamp), от которого было образовано корреляционное событие.

EndTime

Дата и время создания базового события (timestamp), от которого было образовано корреляционное событие.

Название

Уникальное имя ресурса. Максимальная длина имени составляет до 128 символов в кодировке Unicode.

Обязательный параметр.

Тенант

Название тенанта, которому принадлежит ресурс.

Обязательный параметр.

Тип

Тип правила корреляции – simple.

Обязательный параметр.

Теги

Теги для поиска ресурса.

Необязательный параметр.

Наследуемые поля

Поля событий, по которым отбираются события. Если срабатывает селектор, указанный на вкладке Селекторы, отобранные поля событий копируются в корреляционное событие.

Частота срабатываний

Максимальное количество срабатываний правила корреляции в секунду. Значение по умолчанию: 0.

Если не срабатывают правила корреляции, в которых реализована сложная логика обнаружения закономерностей, причиной могут быть особенности подсчета срабатываний правила в KUMA. В этом случае мы рекомендуем увеличить значение в поле Частота срабатываний, например до 1000000.

Уровень важности

Базовый коэффициент, используемый для определения уровня важности правила корреляции:

• Критический.
• Высокий.
• Средний.
• Низкий – это значение выбрано по умолчанию.

Описание

Описание ресурса. Максимальная длина описания составляет до 4000 символов в кодировке Unicode.

Техники MITRE

Загруженные техники MITRE ATT&CK для анализа состояния покрытия безопасности с помощью матрицы MITRE ATT&CK.

Фильтр

Фильтр, указывающий критерии определения событий, при получении которых будет срабатывать селектор. Вы можете выбрать существующий фильтр или создать новый фильтр. Для создания нового фильтра выберите значение Создать.

Если вы хотите изменить параметры существующего фильтра, нажмите рядом с ним на значок карандаша .

Если вы будете использовать фильтр в других правилах корреляции, вам нужно сохранять его как отдельный ресурс.

Как создать фильтр?

Фильтрация по данным из поля события Extra

Последовательность условий, указанных в фильтре селектора корреляционного правила, имеет значение и влияет на производительность системы. Мы рекомендуем на первое место в фильтре селектора ставить наиболее уникальный критерий отбора.

Рассмотрим два примера фильтров селектора, осуществляющих выборку событий успешной аутентификации в Microsoft Windows.

Фильтр селектора 1:

Условие 1 – DeviceProduct = Microsoft Windows.

Условие 2 – DeviceEventClassID =  4624.

Фильтр селектора 2:

Условие 1 – DeviceEventClassID = 4624.

Условие 2 – DeviceProduct = Microsoft Windows.

Последовательность условий, указанная в фильтре селектора 2, является более предпочтительной, так как показывает меньшую нагрузку на систему.

В дальнейшую обработку

Флажок, включающий отправку корреляционных событий на пост-обработку – на внешнее обогащение вне корреляционного правила, для реагирования и в точки назначения. По умолчанию этот флажок снят.

В коррелятор

Флажок, включающий обработку созданного корреляционного события цепочкой правил текущего коррелятора. Это позволят достичь иерархической корреляции. По умолчанию этот флажок снят.

Если вы устанавливаете флажки В дальнейшую обработку и В коррелятор, правило корреляции будет отправлено сначала на пост-обработку, а затем в селекторы текущего правила корреляции.

Не создавать алерт

Флажок, выключающий создание алертов при срабатывании правила корреляции. По умолчанию этот флажок снят.

Если вы хотите, чтобы алерт не создавался при срабатывании правила корреляции, но корреляционное событие все-равно отправлялось в хранилище, установите флажки В дальнейшую обработку и Не создавать алерт. Если установлен только флажок Не создавать алерт, корреляционное событие не будет сохраняться в хранилище.

Обогащение

Правила обогащения для изменения значений полей корреляционных событий. Правила обогащения хранятся в правиле корреляции, в котором они были созданы. Для создания правила обогащения нажмите на кнопку + Добавить обогащение.

Доступные параметры правила обогащения:

• Исходный тип – тип обогащения. При выборе определенных типов обогащения могут стать доступны дополнительные параметры, для которых вам нужно указать значения.

  Доступные типы обогащения:

  • константа

    Этот тип обогащения используется, если в поле события необходимо добавить константу. Параметры этого типа обогащения описаны в таблице ниже.

    Параметры типа обогащения "константа"

    Параметр	Описание
    Константа	Значение, которое требуется добавить в поле события. Максимальная длина значения – до 255 символов в кодировке Unicode. Если оставить поле пустым, существующее значение поля события будет удалено.
    Целевое поле	Поле события, в которое требуется поместить данные.

    Если вы используете функции обогащения событий для полей расширенной схемы с типом Строка, Число или Число с плавающей точкой с помощью константы, в поле будет добавлена константа.

    Если вы используете функции обогащения событий для полей расширенной схемы с типом Массив строк, Массив чисел или Массив чисел с плавающей точкой с помощью константы, константа будет добавлена к элементам массива.

  • словарь

    Этот тип обогащения используется, если в поле события необходимо добавить значение из словаря типа Словарь. Параметры этого типа обогащения описаны в таблице ниже.

    Параметры типа обогащения "словарь"

    Параметр	Описание
    Название словаря	Словарь, из которого будут браться значения.
    Ключевые поля	Поля событий, значения которых будут использоваться для выбора записи словаря. Для добавления поля события нажмите на кнопку Добавить поле. Вы можете добавить несколько полей событий.

    Если вы используете обогащение событий, у которого в качестве параметра Тип источника данных выбрано значение словарь, а в параметре Ключевые поля обогащения указано поле-массив, при передаче массива в качестве ключа словаря массив будет сериализован в строку в соответствии с правилами сериализации одного значения в формате TSV.

    Пример. В параметре Ключевые поля обогащения используется поле расширенной схемы SA.StringArrayOne. В поле расширенной схемы SA.StringArrayOne находятся значения "a", "b", "c". В качестве ключа в словарь будут переданы значения ['a','b','c'].

    Если в параметре Ключевые поля обогащения используется поле-массив расширенной схемы и обычное поле схемы событий, значения полей при обращении в словарь будут разделены символом |.

    Пример. В параметре Ключевые поля обогащения используется поле расширенной схемы SA.StringArrayOne и строковое поле Code. В поле расширенной схемы SA.StringArrayOne находятся значения "a", "b", "c", а строковое поле Code содержит последовательность символов myCode. В качестве ключа в словарь будут переданы значения ['a','b','c']|myCode.

  • таблица

    Этот тип обогащения используется, если в поле события необходимо добавить значение из словаря типа Таблица. Параметры этого типа обогащения описаны в таблице ниже.

    Параметры типа обогащения "таблица"

    Параметр	Описание
    Название словаря	Словарь, из которого будут браться значения.
    Ключевые поля	Поля событий, значения которых будут использоваться для выбора записи словаря. Для добавления поля события нажмите на кнопку Добавить поле. Вы можете добавить несколько полей событий.
    Сопоставление	Поля событий для передачи данных: Поле словаря – поля словаря, из которых будут передаваться данные. Доступные поля зависят от выбранного ресурса словаря. Поле KUMA – поля событий, в которые будут передаваться данные. Для выбранных полей (*custom* и *flex*) в столбце Подпись вы можете задать название для помещаемых данных.

    Первое поле в таблице (Поле словаря) считается ключом, с которым будут сопоставляться поля, выбранные из события в качестве ключевых (Поле KUMA). В качестве ключа в Поле словаря вам нужно выбрать индикатор компрометации, по которому будет осуществляться обогащение, например IP-адрес, URL-адрес или хеш. В правиле необходимо выбрать поле события, соответствующее выбранному индикатору в поле словаря.

    Если вы хотите выбрать несколько ключевых полей, вы можете указать их через разделитель | (при указании через веб-интерфейс или импорте через CSV-файл), например <IP-адрес>|<имя пользователя>.

    Вы можете добавлять новые строки таблицы и удалять строки таблицы. Для добавления новой строки таблицы нажмите на кнопку Добавить элемент. Для удаления строки таблицы нажмите на крестик .

  • событие

    Этот тип обогащения используется, если в поле события необходимо записать значение другого поля события. Доступные параметры типа обогащения описаны в таблице ниже.

    Доступные параметры типа обогащения

    Параметр	Описание
    Целевое поле	Поле события KUMA, в которое требуется поместить данные.
    Исходное поле	Поле события, значение которого будет записано в целевое поле.

    Если вы хотите создать правило для изменения исходных данных перед записью в поля событий KUMA, в блоке параметров Преобразование нажмите на кнопку + Добавить преобразование. В раскрывающемся списке Тип выберите нужный тип преобразования. Вы можете добавить несколько преобразований по кнопке + Добавить преобразование. Чтобы удалить добавленное преобразование, нажмите рядом с ним на значок корзины.

    Доступные преобразования

    Преобразования – это изменения, которые применяются к значению перед записью в поле события.

    Вы можете выбрать в раскрывающемся списке один из следующих типов преобразования:

    • entropy – используется для преобразования значения исходного поля с помощью функции вычисления информационной энтропии и помещения результата преобразования в целевое поле типа float. Результатом преобразования будет число. Показатель вычисления информационной энтропии позволяет выявлять DNS-туннели и компрометацию паролей, например, когда пользователь ввел пароль вместо логина и пароль записывается в журнал в открытом виде.
    • lower – используется для перевода всех символов значения в нижний регистр.
    • upper – используется для перевода всех символов значения в верхний регистр.
    • regexp – используется для преобразования значения с помощью указанного регулярного выражения RE2. При выборе этого типа преобразования отображается поле, в котором вам нужно указать регулярное выражение RE2.
    • substring – используется для извлечения символов в указанном диапазоне позиций. При выборе этого типа преобразования отображаются поля Начало и Конец, в которых вам нужно указать диапазон позиций.
    • replace – используется для замены указанной последовательности символов на другую последовательность символов. При выборе этого типа преобразования отображаются следующие поля:
      • Символы на замену – последовательность символов, которую требуется заменить.
      • Чем заменить – последовательность символов, которую требуется использовать вместо заменяемой последовательности символов.
    • trim – используется для удаления указанных символов одновременно с начала и с конца значения поля события. При выборе этого типа преобразования отображается поле Символы, в котором вам нужно указать символы. Например, если для значения Microsoft-Windows-Sysmon требуется выполнить преобразование trim со значением Micromon, новым значением будет soft-Windows-Sys.
    • append – используется для добавления указанных символов в конец значения поля события. При выборе этого типа преобразования отображается поле Константа, в котором вам нужно указать символы.
    • prepend – используется для добавления указанных символов к началу значения поля события. При выборе этого типа преобразования отображается поле Константа, в котором вам нужно указать символы.
    • replace with regexp – используется для замены результатов регулярного выражения RE2 на указанную последовательность символов. При выборе этого типа преобразования отображаются следующие поля:
      • Выражение – регулярное выражение RE2, результаты которого требуется заменить.
      • Чем заменить – последовательность символов, которую требуется использовать вместо заменяемой последовательности символов.
    • Конвертация закодированных строк в текст:
      • decodeHexString – используется для конвертации HEX-строки в текст.
      • decodeBase64String – используется для конвертации Base64-строки в текст.
      • decodeBase64URLString – используется для конвертации Base64url-строки в текст.
      • unicodeUnescape – используется для конвертации Unicode-строки в текст.

      При конвертации поврежденной строки или при ошибках конвертации в поле события могут быть записаны поврежденные данные.

      При обогащении событий, если длина закодированной строки превышает размер поля нормализованного события, строка будет обрезана и не будет раскодирована.

      Если длина раскодированной строки превышает размер поля события, в которое должно быть помещено раскодированное значение, строка будет обрезана до размера этого поля события.

      Мы не рекомендуем использовать несколько дополнительных нормализаторов для последовательного преобразования одного и того же поля. Результат одного преобразования, выполненного дополнительным нормализатором, не используется как входные данные для следующего. В итоговое событие записывается значение, полученное в допонительном нормализаторе, который первым выполнил обогащение этого поля.

    • Преобразование формата IP-адреса в IPv4:
      • ipDecimalToDotted – используется для преобразования IP-адреса в формате десятичного числа в IP-адрес в формате IPv4, в котором октеты разделены точками.
      • ipHexToDotted – используется для преобразования IP-адреса в формате шестнадцатиричного числа в IP-адрес в формате IPv4, в котором октеты разделены точками.
    • hexToDecimal – используется для преобразования числового значения, представленного в шестнадцатеричной системе счисления, в десятичный формат. Преобразование применяется к строковым или числовым полям, содержащим HEX-значения (включая префикс 0x, если он присутствует), и результат записывается в целевое поле события KUMA в виде целого числа.

      Результатом преобразования является число в десятичной системе, например исходное значение – 0x00FF, после преобразования – 255.

    При использовании обогащения событий, у которых в качестве параметра Тип источника данных выбрано значение событие, а в качестве аргументов используются поля расширенной схемы событий, необходимо учесть следующие особенности:

    • Если исходное поле расширенной схемы событий имеет тип Массив строк, а целевое поле расширенной схемы событий имеет тип Строка, значения будут размещены в целевом поле расширенной схемы событий в формате TSV.

      Пример: в поле расширенной схемы событий SA.StringArray, находятся значения "string1", "string2", "string3". Выполняется операция обогащения событий. Результат выполнения операции обогащения событий заносится в поле расширенной схемы событий DeviceCustomString1. В поле расширенной схемы событий DeviceCustomString1 будут находиться значения ["string1", "string2", "string3"].

    • Если исходное и целевое поля расширенной схемы событий имеют тип Массив строк, значения целевого поля расширенной схемы событий будут дополнены значениями исходного поля расширенной схемы событий, а качестве символа-разделителя будет использован символ ",".

      Пример: в поле расширенной схемы событий SA.StringArrayOne, находятся значения ["string1", "string2", "string3"], а в поле расширенной схемы событий SA.StringArrayTwo находятся значения ["string4", "string5", "string6"]. Выполняется операция обогащения событий. Результат выполнения операции обогащения событий заносится в поле расширенной схемы событий SA.StringArrayTwo. В поле расширенной схемы событий SA.StringArrayTwo будут находиться значения ["string4", "string5", "string6", "string1", "string2", "string3"].

  • шаблон

    Этот тип обогащения используется, если в поле события нужно записать значение, полученное при обработке шаблонов Go. Мы рекомендуем сопоставлять значение и размер поля. Параметры этого типа обогащения описаны в таблице ниже.

    Параметры типа обогащения "шаблон"

    Параметр	Описание
    Шаблон	Шаблон Go. Имена полей событий передаются в формате {{.EventField}}, где EventField – это название поля события, значение которого должно быть передано в скрипт, например Атака на {{.DestinationAddress}} со стороны {{.SourceAddress}}.
    Целевое поле	Поле события, в которое требуется поместить данные.

    Если вы используете обогащение событий, у которого в качестве параметра Тип источника данных выбрано значение шаблон, целевым полем является поле с типом Строка, а исходным полем является поле расширенной схемы событий, содержащее массив строк, то в шаблоне может быть использован один из следующих примеров:

    • {{.SA.StringArrayOne}}
    • {{- range $index, $element := . SA.StringArrayOne -}}

      {{- if $index}}, {{end}}"{{$element}}"{{- end -}}

    Для преобразования в шаблоне данных поля массива в формат TSV требуется использовать функцию toString, например:

    template {{toString .SA.StringArray}}

  Обязательный параметр.

• Отладка – переключатель, включающий логирование ресурса. По умолчанию этот переключатель выключен.
• Теги

Вы можете создать несколько правил обогащения, изменить порядок правил обогащения и удалить правила обогащения. Для изменения порядка правил обогащения используйте значки изменения порядка . Для удаления правила обогащения нажмите рядом с ним на значок удаления .

Изменение категорий

Правила категоризации для изменения категорий активов, указанных в событии. С помощью правил категоризации вы можете привязывать и отвязывать от активов только реактивные категории. Для создания правила категоризации нажмите на кнопку + Добавить категоризацию.

Доступные параметры правила категоризации:

• Действие – операция, выполняемая над категорией:
  • Добавить – привязать категорию к активу.
  • Удалить – отвязать категорию от актива.

  Обязательный параметр.

• Поле события – поле события, содержащее актив, над которым будет выполнена операция.

  Обязательный параметр.

• Идентификатор категории – категория, над которой будет совершена операция.

  Обязательный параметр.

Вы можете создать несколько правил категоризации, изменить порядок правил категоризации и удалить правила категоризации. Для изменения порядка правил категоризации используйте значки изменения порядка . Для удаления правила категоризации нажмите рядом с ним на значок удаления .

Обновление активных листов

Операции с активными листами. Для создания операции с активным листом нажмите на кнопку + Добавить действие с активным листом.

Доступные параметры операции с активным листом:

• Название – активный лист, с которым выполняется операция. Если вы хотите изменить параметры активного листа, нажмите рядом с ним на значок карандаша .

  Обязательный параметр.

• Операция – операция, которая выполняется с активным листом:
  • Сложить – прибавить константу, значение поля корреляционного события или значение локальной переменной к значению активного листа.
  • Установить – записать значения указанных полей корреляционного события в активный лист, создав новую или обновив существующую запись активного листа. При обновлении записи активного листа данные объединяются, и только указанные поля перезаписываются.
  • Получить – получить запись активного листа и записать значения указанных полей в корреляционное событие.
  • Удалить – удалить запись из активного листа.

  Обязательный параметр.

• Ключевые поля – поля события, которые используются для создания записи активного листа. Указанные поля событий также используются в качестве ключа записи активного листа.

  Ключ записи активного листа зависит только от состава полей событий и не зависит от порядка их отображения в веб-интерфейсе KUMA.

  Обязательный параметр.

• Сопоставление – правила сопоставления полей активного листа с полями событий. Вы можете использовать правила сопоставления, если в раскрывающемся списке Операция вы выбрали значение Получить или Установить. Для создания правила сопоставления нажмите на кнопку + Добавить.

  Доступные параметры правила сопоставления:

  • Поле активного листа – поле активного листа, которое сопоставляется с полем события. Поле не должно содержать специальные символы или только цифры.
  • Поле KUMA – поле события, с которым сопоставляется поле активного листа.
  • Константа – константа, которая назначается полю активного листа. Вам нужно указать константу, если в раскрывающемся списке Операция вы выбрали значение Установить.

  Вы можете создать несколько правил сопоставления и удалить правила сопоставления. Для удаления правила сопоставления установите рядом с ним флажок и нажмите на кнопку Удалить.

Вы можете создать несколько операций с активными листами, изменить порядок операций с активными листами и удалить операции с активными листами. Для изменения порядка операций с активными листами используйте значки изменения порядка . Для удаления операции с активным листом нажмите рядом с ней на значок удаления .

Обновление контекстных таблиц

Операции с контекстными таблицами. Для создания операции с контекстной таблицей нажмите на кнопку + Добавить действие с контекстной таблицей.

Доступные параметры операции с контекстной таблицей:

• Название – контекстная таблица, с которой выполняется операция. Если вы хотите изменить параметры контекстной таблицы, нажмите рядом с ней на значок карандаша .

  Обязательный параметр.

• Операция – операция, которая выполняется с контекстной таблицей:
  • Сложить – прибавить константу, значение поля корреляционного события или значение локальной переменной к значению указанного поля контекстной таблицы. Операция используется только для полей с типом Число и Число с плавающей точкой.
  • Установить – записать значения указанных полей корреляционного события в контекстную таблицу, создав новую или обновив существующую запись контекстной таблицы. При обновлении записи контекстной таблицы данные объединяются, и только указанные поля перезаписываются.
  • Объединить – дописать значение поля корреляционного события, локальной переменной или константы к существующему значению поля контекстной таблицы.
  • Получить – получить поля контекстной таблицы и записать значения указанных полей в корреляционное событие. Поля таблицы типа булево значение и список булевых значений исключаются из сопоставления, потому что в событии нет полей булева типа.
  • Удалить – удалить запись из контекстной таблицы.

  Обязательный параметр.

• Сопоставление – правила сопоставления полей контекстной таблицы с полями событий или переменными. Вы можете использовать правила сопоставления, если в раскрывающемся списке Операция вы не выбрали значение Удалить. Для создания правила сопоставления нажмите на кнопку + Добавить.

  Доступные параметры правила сопоставления:

  • Поле контекстной таблицы – поле контекстной таблицы, которое сопоставляется с полем события. Вы не можете указать поле контекстной таблицы, которое уже используется в сопоставлении. Вы можете указать табуляцию, специальные символы или только цифры. Максимальное длина названия поля контекстной таблицы составляет 128 символов. Название поля контекстной таблицы не может начинаться с нижнего подчеркивания.
  • Поле KUMA – поле события или локальная переменная, с которой сопоставляется поле контекстной таблицы.
  • Константа – константа, которая назначается полю контекстной таблицы. Вам нужно указать константу, если в раскрывающемся списке Операция вы выбрали значение Установить, Объединить или Сложить. Максимальное длина константы составляет 1024 символа.

  Вы можете создать несколько правил сопоставления и удалить правила сопоставления. Для удаления правила сопоставления установите рядом с ним флажок и нажмите на кнопку Удалить.

Вы можете создать несколько операций с контекстными таблицами, изменить порядок операций с контекстными таблицами и удалить операции с контекстными таблицами. Для изменения порядка операций с контекстными таблицами используйте значки изменения порядка . Для удаления операции с контекстной таблицей нажмите рядом с ней на значок удаления .