Использование расширенной схемы событий для нормализации

От источников могут приходить события с данными, которые не укладываются в набор полей формата событий CEF. Шести уже имеющихся дополнительных полей DeviceCustomString, предусмотренных форматом CEF, может быть недостаточно для сопоставления таких данных. Поэтому в KUMA есть возможность создать дополнительные поля, которые называются полями расширенной схемы событий. С полями расширенной схемы событий вы можете сопоставить поля полученного события. Такая настройка позволит вам сохранять полученные нестандартные данные в нормализованном событии.

Вы можете использовать поля расширенной схемы событий в нормализаторах для нормализации событий и в других ресурсах KUMA, например, в качестве полей виджетов, а также в SQL-запросах для фильтрации и поиска событий, в таблице событий и пресетах.

Пресет – это предварительно заданный набор полей событий, который можно использовать для упрощения работы с запросами.

Список всех полей расширенной схемы событий, существующих в KUMA, доступен в разделе Поля расширенной схемы событий.

Рекомендации и ограничения

Использование значительного количества уникальных полей расширенной схемы событий может привести к снижению производительности системы, увеличению объема дискового пространства, необходимого для хранения событий и сложности восприятия данных.

С точки зрения нагрузки на сервер хранения при операциях поиска событий, подготовки отчетов и других операций с событиями в хранилище наиболее предпочтительными являются поля схемы событий KUMA, после чего идут поля расширенной схемы событий, затем поля Extra.

При использовании полей расширенной схемы событий сохраняется общее ограничение для максимального размера события обрабатываемого коллектором – 4 МБ.

Типизация

Поля расширенной схемы событий имеют строгую типизацию, приведенную в таблице ниже.

Если данные, находящиеся в полях сырого события, не соответствуют типу поля KUMA, в процессе нормализации событий значение не будет сохранено, если невозможно выполнить преобразование типов данных. Например, строка test не может быть помещена в числовое поле KUMA DeviceCustomNumber1.

Служебные и пользовательские поля расширенной схемы событий

В расширенной схеме событий помимо пользовательских полей, которые вы можете добавлять сами, в KUMA зарезервированы служебные поля. В служебные поля вы не можете нормализовывать пользовательские данные. Вы не можете изменять, удалять, экспортировать и отключать служебные поля. Все поля расширенной схемы событий с префиксом KL_ являются служебными и управляются только c серверов "Лаборатории Касперского". Мы не рекомендуем использовать префикс KL_ в имени при добавлении новых полей расширенной схемы событий.

По умолчанию в KUMA автоматически добавляются следующие служебные поля расширенной схемы событий:

• KL_EventRoute, тип S – предназначено для хранения информации о маршруте события.

  Вы можете использовать это поле в нормализаторах, в качестве ключа или значения в активных листах, в правилах обогащения, в качестве поля запроса в правилах сбора и анализа данных, в корреляционных правилах. Вы не можете использовать это поле для детектирования источников событий.

• KL_AI_DLLHijackingCheckResult, тип N – предназначено для хранения информации о результате проверки динамической библиотеки, которая потенциально может использоваться в атаках типа DLL Hijacking. Результат проверки выдает сервис KSN.
• Следующие поля добавлены в корреляционное событие:
  • KL_CorrelationRulePriority, тип N;
  • KL_SourceAssetDisplayName, тип S;
  • KL_DestinationAssetDisplayName, тип S;
  • KL_DeviceAssetDisplayName, тип S;
  • KL_SourceAccountDisplayName, тип S;
  • KL_DestinationAccountDisplayName, тип S.

  Вы можете использовать эти служебные поля для поиска событий.

Использование полей расширенной схемы событий

Настройка нормализации данных в поле расширенной схемы событий состоит из следующих этапов:

1. Добавление нового поля расширенной схемы событий

   Если поле полученного события не может быть нормализовано в одно из полей формата событий CEF, включая шесть дополнительных полей DeviceCustomString, добавьте новое поле расширенной схемы событий.

2. Сопоставление полей в нормализаторе

   Сопоставьте поле сырого события и новое поле расширенной схемы событий:

   1. Откройте существующий или создайте новый нормализатор.
   2. Заполните основные параметры нормализатора.
   3. В блоке параметров Сопоставление нажмите на кнопку Добавить строку.
   4. В параметре Исходные данные укажите название исходного поля в сыром событии.
   5. В параметре Поле KUMA начните вводить имя поля расширенной схемы событий и выберите нужное поле в раскрывающемся списке.

      Поля расширенной схемы событий в раскрывающемся списке имеют имя в формате <тип>.<имя поля>.

   6. Нажмите на кнопку Сохранить для сохранения нормализатора событий.

Поле сырого события нормализуется в выбранное поле расширенной схемы событий.