AI-рейтинг и AI-статус активов

Сервис AI-оценка и AI-статус активов (далее также AI-сервис) позволяет уточнить критичность корреляционных событий, сгенерированных в результате срабатывания правил корреляции. AI-сервис доступен для установки, если лицензия содержит модуль AI.

AI-сервис получает из доступных кластеров хранения корреляционные события, содержащие непустое поле Affected assets, выстраивает ожидаемую последовательность событий и обучает модель AI. На основании цепочки срабатываний правил корреляции AI-сервис высчитывает, является ли такая последовательность срабатываний характерной для этой инфраструктуры. По результатам расчетов AI-сервиса в карточке активов становятся доступными для просмотра AI-рейтинг и AI-статус. Нетипичные паттерны повышают рейтинг актива.

Рейтинг актива – это число, которое отражает степень нетипичной активности, на которую стоит обратить внимание. Рейтинг присваивается следующим образом:

• 0 <= рейтинг < 0.25 – Low
• 0.25 <= рейтинг < 0.5 – Medium
• 0.5 <= рейтинг < 0.75 – High
• 0.75 <= рейтинг <= 1 – Critical

После каждого перезапуска AI-сервис заново обучает модель и выполняет переоценку рейтинга активов, указанных в событиях за сегодня. Переобучение модели происходит в полночь по UTC. Переоценка рейтинга активов происходит раз в час для всех активов, которые были в событиях за сегодня по UTC.

Если удалить лицензионный ключ, поля Рейтинг AI и Статус AI будут скрыты из карточки актива. При добавлении лицензионного ключа значения полей Рейтинг AI и Статус AI снова отображаются.

Отслеживать распределение активов по статусам позволяет виджет Активы по уровню важности. Виджет доступен, если лицензия содержит модуль AI. На круговом графике будет отображаться количество активов с группировкой по статусу.

Вы можете искать активы с помощью фильтра по полям Рейтинг AI и Статус AI. Также вы можете настроить проактивную категоризацию активов по полям Рейтинг AI и Статус AI. В этом случае, как только AI-сервис присвоит активу рейтинг, актив будет перемещен в заданную для такого уровня риска категорию. Вы можете создать структуру из нескольких категорий и автоматически наполнять их активами в соответствии с вычисленными значениями риска.

При необходимости можно настроить создание событий аудита при добавлении актива в категорию. События аудита могут учитываться в правилах корреляции, а также их можно отслеживать в панели мониторинга и в отчетах.

Чтобы отслеживать изменение категории активов в панели мониторинга, нужно создать виджет События со следующим запросом:

SELECT count(ID) AS `metric`, formatDateTime(toTimeZone(fromUnixTimestamp64Milli(Timestamp), 'Europe/Moscow'), '%d.%m.%Y %H:%m:%S') AS `value` FROM `events`

where DeviceVendor = 'Kaspersky' and DeviceProduct = 'KUMA' and

DeviceEventCategory = 'Audit assets' and DeviceAction= 'asset added to category'

and DeviceCustomString1 = 'Main/Categorized assets/ML/score>0.5'

GROUP BY Timestamp ORDER BY value LIMIT 250

В директории, заданной в конфигурационном файле, хранятся события, которые AI-сервис получил из кластеров хранения KUMA за указанное количество дней. Например, если в конфигурационном файле указано 12 дней, AI-сервис будет получать события за последние 12 дней. Самые давние события удаляются из директории. В этой же директории будет храниться обученная модель.

Журналы сервиса хранятся в /var/log/syslog.