Правила кросс-тенантного взаимодействия

Условие:

Коллектор и коррелятор принадлежат тенанту 2 (tenantID=2)

Сценарий:

1. Коллектор тенанта 2 получает и отправляет события в коррелятор тенанта 2.
2. При срабатывании правил корреляции в корреляторе создаются корреляционные события с идентификатором тенанта tenantID=2.
3. Коррелятор отправляет корреляционные события в раздел хранилища для тенанта 2.
4. Создается алерт, привязанный к тенанту с идентификатором tenantID=2.
5. К алерту привязываются события, из-за которых он был создан.

Результат:

• Инцидент создается пользователем вручную. Тенант инцидента выбирается пользователем. Алерт привязывается к инциденту вручную или автоматически.
• Алерт и привязанные к нему события доступны сотрудникам тенанта 2.

Условие:

• Коллектор развернут на тенанте 2 и принадлежит ему (tenantID=2).
• Главный администратор определяет тенант владельца коррелятора с учетом того, чьи сотрудники будут расследовать инциденты тенанта 2: сотрудники тенанта Main или тенанта 2. Принадлежность алерта зависит от принадлежности коррелятора. Принадлежность инцидента зависит от выборанного пользователем тенанта при ручном создании инцидента. Если инцидент создается автоматически, он наследует тенант алерта.

Сценарий 1. Коррелятор принадлежит тенанту 2 (tenantID=2):

1. Коллектор тенанта 2 получает и отправляет события в коррелятор.
2. При срабатывании правил корреляции в корреляторе создаются корреляционные события с идентификатором тенанта tenantID=2.
3. Коррелятор отправляет корреляционные события в раздел хранилища тенанта 2.
4. Создается алерт, привязанный к тенанту с идентификатором tenantID=2.
5. К алерту привязываются события, из-за которых он был создан.

Результат 1:

• Созданный алерт и привязанные к нему события доступны сотрудникам тенанта 2.
• Алерт и привязанные к нему события доступны сотрудникам тенанта Main.

Сценарий 2. Коррелятор принадлежит тенанту Main (tenantID=1):

1. Коллектор тенанта 2 получает и отправляет события в коррелятор.
2. При срабатывании правил корреляции в корреляторе создаются корреляционные события с идентификатором тенанта tenantID=1.
3. Коррелятор отправляет корреляционные события в раздел хранилища главного тенанта.
4. Создается алерт, привязанный к тенанту Main с идентификатором tenantID=1.
5. К алерту привязываются события, из-за которых он был создан.

Результат 2:

• Алерт и привязанные к нему события недоступны сотрудникам тенанта 2.
• Алерт и привязанные к нему события доступны сотрудникам тенанта Main.

Условие:

• Развернуто два коллектора: на тенанте 2 и тенанте 3. Оба коллектора отправляют события в один коррелятор.
• Коррелятор принадлежит тенанту Main. Правило корреляции ожидает события от обоих тенантов.

Сценарий:

1. Коллектор тенанта 2 получает и отправляет события в коррелятор тенанта Main.
2. Коллектор тенанта 3 получает и отправляет события в коррелятор тенанта Main.
3. При срабатывании правила корреляции в корреляторе создаются корреляционные события с идентификатором тенанта tenantID=1.
4. Коррелятор отправляет корреляционные события в раздел хранилища тенанта Main.
5. Создается алерт, привязанный к тенанту Main с идентификатором tenantID=1.
6. К алерту привязываются события, из-за которых он был создан.

Результат:

• Алерт и привязанные к нему события недоступны сотрудникам тенанта 2.
• Алерт и привязанные к нему события недоступны сотрудникам тенанта 3.
• Алерт и привязанные к нему события доступны сотрудникам тенанта Main.

Условие:

• Развернуто два коллектора: в тенанте Main и тенанте 2.
• Развернуто два коррелятора:
  • Коррелятор 1 принадлежит тенанту Main и принимает события с коллектора тенанта Main и коррелятора 2.
  • Коррелятор 2 принадлежит тенанту 2 и принимает события с коллектора тенанта 2.

Сценарий:

1. Коллектор тенанта 2 получает и отправляет события в коррелятор 2.
2. При срабатывании правила корреляции в корреляторе тенанта 2 создаются корреляционные события с идентификатором тенанта tenantID=2.
   • Коррелятор 2 отправляет корреляционные события в раздел хранилища тенанта 2.
   • Создается алерт 1, привязанный к тенанту с идентификатором tenantID=2.
   • К алерту привязываются события, из-за которых он был создан.
   • Корреляционные события от коррелятора тенанта 2 отправляются в коррелятор 1.
3. Коллектор главного тенанта получает и отправляет события в коррелятор 1.
4. В корреляторе 1 обрабатываются события обоих тенантов. При срабатывании правила корреляции создаются корреляционные события с идентификатором тенанта tenantID=1.
   • Коррелятор 1 отправляет корреляционные события в раздел хранилища тенанта Main.
   • Создается алерт 2, привязанный к тенанту с идентификатором tenantID=1.
   • К алерту привязываются события, из-за которых он был создан.

Результат:

• Алерт 1 доступен пользователям тенанта 2.
• Алерт 2 и привязанные к нему события недоступны сотрудникам тенанта 2.
• Алерт 2 и привязанные к нему события доступны сотрудникам главного тенанта.

Если вы не хотите, чтобы при корреляции события от разных тенантов смешивались, в правилах корреляции в поле Группирующие поля следует указывать поле события TenantId. В таком случае алерт наследует тенант от коррелятора.

Условие:

• Развернуто два коллектора: на тенанте 2 и тенанте 3.
• Развернут один коррелятор, принадлежащий тенанту Main (tenantID=1). Он принимает события от обоих тенантов, но обрабатывает их независимо друг от друга.

Сценарий:

1. Коллектор тенанта 2 получает и отправляет события в коррелятор.
2. Коллектор тенанта 3 получает и отправляет события в коррелятор.
3. При срабатывании правила корреляции в корреляторе создаются корреляционные события с идентификатором тенанта tenantID=1.
   • Коррелятор отправляет корреляционные события в раздел хранилища главного тенанта.
   • Создается алерт, привязанный к тенанту Main с идентификатором tenantID=1.
   • К алерту привязываются события, из-за которых он был создан.

Результат:

• Алерты, созданные на основе событий от тенанта 2 и 3, недоступны сотрудникам тенантов 2 и 3.
• Алерты и привязанные к ним события доступны сотрудникам тенанта Main.