Создание коррелятора NG

Коррелятор NG – новая версия коррелятора для обработки и корреляции событий.

В Kaspersky SIEM 4.6 представлена бета-версия коррелятора NG, поэтому функциональность, параметры и поведение могут изменяться в следующих версиях.

Вы можете создать коррелятор NG одним из следующих способов:

• В разделе Ресурсы → Корреляторы → NG нажмите на кнопку Создать, чтобы создать коррелятор NG с нуля.
• В разделе Ресурсы → Корреляторы → Текущий выберите созданный стандартный коррелятор и нажмите на кнопку Конвертировать в NG.

  Откроется форма создания коррелятора NG с перенесенными параметрами стандартного коррелятора. Исходный стандартный коррелятор не изменяется и остается на вкладке Текущий. После сохранения коррелятор NG появляется на вкладке NG.

Создание коррелятора NG с нуля состоит из следующих этапов:

Настройка основных параметров коррелятора

1. Откройте раздел Общие.
2. В поле Название введите уникальное имя коррелятора. Название должно содержать от 1 до 128 символов в кодировке Unicode.
3. В раскрывающемся списке Тенант выберите тенант, которому будет принадлежать коррелятор. От выбора тенанта зависит, какие ресурсы будут доступны при его создании.

   Если при создании коррелятора вы вернетесь в раздел Общие и выберите другой тенант, вам будет нужно вручную изменить все ресурсы, которые вы успели добавить в сервис. В сервис можно добавлять только ресурсы из выбранного и Общего тенантов.

4. При необходимости в поле Очередь входящих событий укажите максимальное число запросов на вставку событий в базу данных, которые могут одновременно находиться в очереди на обработку коррелятором.
5. При необходимости в раскрывающемся списке Теги выберите теги для коррелятора.
6. При необходимости в поле Описание добавьте описание сервиса: до 256 символов в кодировке Unicode.

Добавление правила корреляции

Вы можете создать правила корреляции. В них задаются последовательности событий, указывающих на происшествия, связанные с безопасностью: при обнаружении таких последовательностей коррелятор создает корреляционное событие и алерт.

Чтобы добавить правило корреляции:

1. В разделе Корреляция нажмите на кнопку Добавить.
2. В поле Название введите уникальное имя коррелятора. Название должно содержать от 1 до 128 символов в кодировке Unicode.
3. В раскрывающемся списке Тенант выберите тенант, которому будет принадлежать правило корреляции.
4. При необходимости в раскрывающемся списке Теги выберите теги для правила корреляции.
5. При необходимости в поле Описание добавьте описание правила корреляции.
6. Укажите параметры для правила корреляции. Набор доступных параметров зависит от выбранного типа правила корреляции:

   Standard

   Правила корреляции с типом Standard используются для определения сложных закономерностей в обрабатываемых событиях.

   Поиск закономерностей происходит с помощью контейнеров

   Контейнеры правила корреляции – это временные хранилища данных, которые используются ресурсами правила корреляции при определении необходимости создания корреляционных событий. Эти контейнеры выполняет следующие функции:

   • Группируют события, которые были отобраны фильтрами в группе настроек Селекторы ресурса правила корреляции. События группируются по полям, которые указываются пользователем в поле Группирующие поля.
   • Определяют момент, когда должно сработать правило корреляции, меняя соответствующим образом события, сгруппированные в контейнере.
   • Выполняют действия, указанные в группе настроек Действия.
   • Создают корреляционные события.

   Доступные состояния контейнера:

   • Пусто – в контейнере нет событий. Это может произойти только в момент своего создания при срабатывании правила корреляции.
   • Частичное совпадение – в контейнере есть некоторые из ожидаемых событий (события восстановления не учитываются).
   • Полное совпадение – в корзине есть все ожидаемые события (события восстановления не учитываются). При достижении этого состояния:
     • Срабатывает правило корреляции
     • События удаляются из контейнера
     • Счетчик срабатываний контейнера обновляется
     • Контейнера переводится в состояние Пусто
   • Ложное совпадение – такое состояние контейнера возможно в следующих случаях:
     • когда было достигнуто состояние Полное совпадение, но объединяющий фильтр возвратил значение false.
     • когда при установленном флажке Обнуление были получены события восстановления.

     Когда это условие достигается, правило корреляции не срабатывает. События удаляются из контейнера, счетчик срабатываний обновляется, контейнер переводится в состояния Пусто.

   Чтобы настроить правило корреляции типа Standard:

   1. На вкладке Общие в поле Временное окно (сек.) укажите время жизни контейнера в секундах. Отсчет времени начинается при создании контейнера, когда контейнер получает первое событие.

      По истечении времени жизни контейнера срабатывает триггер, указанный на вкладке Действия → По истечении времени ожидания, и контейнер удаляется. Триггеры, указанные на вкладках Действия → На каждом срабатывании правила и На последующих срабатываниях правила, могут срабатывать более одного раза в течение времени жизни контейнера.

   2. В раскрывающемся списке Политика хранения базовых событий выберите, какие базовые события нужно поместить в корреляционное событие. Доступные значения:
      • Первое – поместить в корреляционное событие первое базовое событие из коллекции событий, инициировавшей создание корреляционного события. Это значение выбрано по умолчанию.
      • Последнее – поместить в корреляционное событие последнее базовое событие из коллекции событий, инициировавшей создание корреляционного события.
      • Все – поместить в корреляционное событие все базовые события из коллекции событий, инициировавшей создание корреляционного события.
   3. В раскрывающемся списке Сортировать по выберите поле события, по которому селекторы правила корреляции будут отслеживать изменение ситуации.

      Это может пригодиться, например если вы захотите настроить правило корреляции на срабатывание при последовательном возникновении нескольких типов событий.

   4. Если вы хотите, чтобы события поступали в коррелятор в порядке, заданном в селекторах, включите переключатель Ожидать события в порядке, заданном в селекторе. По умолчанию переключатель выключен.
   5. В раскрывающемся списке Приоритет выберите приоритет, который будет назначен корреляционному событию:
      • Низкий.
      • Средний.
      • Высокий.
      • Критический.
   6. В поле Ограничение скорости укажите максимальное количество срабатываний правила корреляции в секунду.
   7. Если вы хотите, чтобы правило срабатывало при достижении порога любым селектором, включите переключатель Любое совпадение. По умолчанию переключатель выключен.

      При включенном переключателе правило срабатывает, как только любой селектор достигает заданного порога. Правило не дожидается достижения порогов другими селекторами.

   8. Если вы хотите дополнительно проверять взаимосвязь событий, полученных разными селекторами, включите переключатель Селектор JOIN. По умолчанию переключатель выключен.

      При включенном переключателе отображается блок Селектор JOIN, в котором можно задать условие сравнения полей событий разных селекторов. Условие можно задать вручную на вкладке Код или построить с помощью графического конструктора на вкладке Конструктор. Можно сравнивать значения полей событий разных селекторов и объединять условия с помощью логических операторов AND, OR и NOT.

      Например, можно задать условие, при котором значение srcIP события из одного селектора должно совпадать со значением dstIP события из другого селектора.

   9. В блоке Группирующие поля нажмите на кнопку Добавить поле и укажите поля, по которым базовые события будут объединяться в один контейнер.
      1. В поле Выражение базового события введите выражение, значение которого будет использоваться для группировки событий. Можно указать имя поля базового события, функцию или операцию над полями либо константу.
      2. В раскрывающемся списке Поле коррелированного события выберите поле, в которое будет записано полученное значение.

      Все события с одинаковым результатом выражения будут объединяться в один контейнер. Полученное значение также будет записано в выбранное поле корреляционного события. Например, если в поле Выражение базового события и Поле коррелированного события указать DeviceAssetID, события с одинаковым DeviceAssetID будут объединяться в один контейнер, а значение DeviceAssetID будет сохранено в корреляционном событии.

      При необходимости вы можете добавить и настроить несколько группирующих полей, нажав на кнопку Добавить поле. Удалить поля можно по кнопке Удалить поле.

   10. В блоке Уникальные поля нажмите на кнопку Добавить поле и укажите поля, по которым события в контейнере должны считаться уникальными.
       1. В поле Выражение базового события введите выражение, значение которого будет использоваться для определения уникальности события.
       2. В раскрывающемся списке Поле коррелированного события выберите поле, в которое будет записано полученное значение.

       Если в контейнере уже есть событие с таким же значением в выбранном поле корреляционного события, новое событие считается неуникальным и не добавляется в контейнер.

       При необходимости вы можете добавить и настроить несколько уникальных полей, нажав на кнопку Добавить поле. Удалить поля можно по кнопке Удалить поле.

   11. Перейдите на вкладку Селекторы и нажмите на кнопку Добавить селектор.
       1. На вкладке Параметры настройте условия, которым должны соответствовать события для срабатывания селектора:
          • В поле Тег укажите тег для селектора.
          • В блоке Выражение задайте условие отбора событий. Условие можно ввести вручную на вкладке Код или построить с помощью графического конструктора на вкладке Конструктор.

            При формировании условий фильтрации вы можете переключаться между режимами. При переключении между режимами сформированные условия фильтров сохраняются.

          • В поле Порог срабатывания селектора (количество событий) укажите количество событий, которое необходимо получить для срабатывания селектора. Значение по умолчанию: 1.
          • При необходимости включите переключатель Обнуление. По умолчанию переключатель выключен.

            При включенном переключателе Обнуление получение заданного количества событий селектором приводит к сбросу контейнера и предотвращает создание корреляционного события.

       2. На вкладке Локальные переменные вы можете добавить переменные, которые будут действовать в пределах правила корреляции.

          Для добавления переменной нажмите на кнопку + Добавить переменную, после чего укажите переменную и ее значение. Вы можете добавить несколько переменных и удалить переменные. Для удаления переменной установите рядом с ней флажок и нажмите на кнопку Удалить переменную.

       Вы можете добавить несколько селекторов по кнопке Добавить селектор. Для изменения порядка селекторов используйте значки изменения порядка . Для удаления селектора нажмите рядом с ним на значок удаления .

   12. Перейдите на вкладку Действия.
   13. При необходимости настройте триггеры на следующих вкладках:
       • На первом срабатывании правила – триггер срабатывает, когда контейнер регистрирует первое в течение срока своей жизни срабатывание селектора.
       • На последующих срабатываниях правила – триггер срабатывает, когда контейнер регистрирует в течение срока своей жизни второе и последующие срабатывания селектора.
       • На каждом срабатывании правила – триггер срабатывает каждый раз, когда контейнер регистрирует срабатывание селектора.
       • По истечении времени ожидания – триггер срабатывает по истечении времени жизни контейнера и используется в связке с селектором, в параметрах которого включен переключатель Обнуление. Таким образом, триггер срабатывает, если в течение указанного времени жизни ситуация, обнаруженная правилом корреляции, не разрешается.
   14. Если вы хотите включить отправку корреляционных событий на пост-обработку (на внешнее обогащение вне корреляционного правила, для реагирования и в точки назначения), включите переключатель Выходные данные. По умолчанию этот переключатель выключен.
   15. Если вы хотите включить обработку созданного корреляционного события цепочкой правил текущего коррелятора, включите переключатель Коррелировать. Это позволят достичь иерархической корреляции. По умолчанию переключатель выключен.

       Если вы включаете переключатели Выходные данные и Коррелировать, правило корреляции будет отправлено сначала на пост-обработку, а затем в селекторы текущего правила корреляции.

   16. Если вы хотите выключить создание алертов при срабатывании правила корреляции, включите переключатель Игнорировать алерт. По умолчанию этот переключатель выключен.

       Если вы хотите, чтобы алерт не создавался при срабатывании правила корреляции, но корреляционное событие все-равно отправлялось в хранилище, включите переключатели Выходные данные и Игнорировать алерт. Если включен только переключатель Игнорировать алерт, корреляционное событие не будет сохраняться в хранилище.

   17. В блоке Обогащение нажмите на кнопку Добавить обогащение и выполните следующие действия:
       1. В раскрывающемся списке Тип выберите одно из следующих значений:
          • Для типа обогащения Выражение настройте следующие параметры:
            • В поле Выражение введите выражение с помощью которого преобразуется значение. Выражение может содержать функции и переменные.
            • В раскрывающемся списке Целевое поле выберите поле нормализованного события, в которое записывается результат выполнения выражения.
          • Для типа Шаблон настройте следующие параметры:
            • В поле Шаблон укажите имена полей событий в формате {{.EventField}}, где EventField – это название поля события, значение которого должно быть передано в скрипт, например Атака на {{.DestinationAddress}} со стороны {{.SourceAddress}}.
            • В раскрывающемся списке Целевое поле выберите поле события, в которое требуется поместить данные.

          Вы можете создать несколько правил обогащения, изменить порядок правил обогащения и удалить правила обогащения. Для изменения порядка правил обогащения используйте значки изменения порядка . Для удаления правила обогащения нажмите рядом с ним на значок удаления .

   18. В блоке Обновление активных листов нажмите на кнопку Добавить действие с активным листом и настройте следующие параметры:
       1. В раскрывающемся списке Активный лист выберите нужный активный лист NG.
       2. В поле Ключевые поля укажите поля события, которые используются для создания записи активного листа. Указанные поля событий также используются в качестве ключа записи активного листа.

          Ключ записи активного листа зависит только от состава полей событий и не зависит от порядка их отображения в веб-интерфейсе KUMA.

          Вы можете добавить несколько ключевых полей по кнопке Добавить действие с активным листом. Для удаления ключевого поля нажмите рядом с ним на значок корзины .

       3. В раскрывающемся списке Операция выберите операцию, которая выполняется с активным листом:
          • Сложить – прибавить константу, значение поля корреляционного события или значение локальной переменной к значению активного листа.
          • Установить – записать значения указанных полей корреляционного события в активный лист, создав новую или обновив существующую запись активного листа. При обновлении записи активного листа данные объединяются, и только указанные поля перезаписываются.
          • Удалить – удалить запись из активного листа.
       4. В блоке Сопоставление вы можете использовать правила сопоставления, если в раскрывающемся списке Операция вы выбрали значение Сложить или Установить. Для создания правила сопоставления нажмите на кнопку Добавить сопоставление.

          Доступные параметры правила сопоставления:

          • Поле – поле активного листа, которое сопоставляется с полем события. Поле не должно содержать специальные символы или только цифры.
          • Выражение – поле события, с которым сопоставляется поле активного листа.

          Вы можете создать несколько правил сопоставления и удалить правила сопоставления. Для удаления правила сопоставления установите рядом с ним флажок и нажмите на кнопку Удалить сопоставление.

          Вы можете создать несколько операций с активными листами, изменить порядок операций с активными листами и удалить операции с активными листами. Для изменения порядка операций с активными листами используйте значки изменения порядка . Для удаления операции с активным листом нажмите рядом с ней на значок удаления .

   19. В блоке Обновление контекстных таблиц нажмите на кнопку Добавить действие с контекстной таблицей и настройте следующие параметры:
       1. В раскрывающемся списке Контекстная таблица выберите нужную контекстную таблицу NG.
       2. В раскрывающемся списке Операция выберите операцию, которая выполняется с активным листом:
          • Сложить – прибавить константу, значение поля корреляционного события или значение локальной переменной к значению указанного поля контекстной таблицы.
          • Установить – записать значения указанных полей корреляционного события в контекстную таблицу, создав новую или обновив существующую запись контекстной таблицы. При обновлении записи контекстной таблицы данные объединяются, и только указанные поля перезаписываются.
          • Объединить – дописать значение поля корреляционного события, локальной переменной или константы к существующему значению поля контекстной таблицы.
          • Удалить – удалить запись из контекстной таблицы.
       3. В блоке Сопоставление вы можете использовать правила сопоставления, если в раскрывающемся списке Операция вы выбрали значение Сложить, Установить или Объединить. Для создания правила сопоставления нажмите на кнопку Добавить сопоставление.

          Доступные параметры правила сопоставления:

          • Поле – поле контекстной таблицы, которое сопоставляется с полем события. Поле не должно содержать специальные символы или только цифры.
          • Выражение – поле события, с которым сопоставляется поле контекстной таблицы.

          Вы можете создать несколько правил сопоставления и удалить правила сопоставления. Для удаления правила сопоставления установите рядом с ним флажок и нажмите на кнопку Удалить сопоставление.

   20. При необходимости перейдите на вкладку Дополнительные параметры и настройте параметры внутренней работы коррелятора NG. Для каждого параметра укажите значение в соответствии с требованиями к производительности и отказоустойчивости коррелятора:
       1. В поле Интервал тика (мс) укажите интервал выполнения внутреннего цикла коррелятора в миллисекундах. Чем меньше значение, тем быстрее коррелятор реагирует на изменения, но тем выше нагрузка на процессор.
       2. В поле Тик контрольного сигнала укажите количество интервалов, через которые узел-лидер отправляет контрольные сообщения другим узлам кластера Raft.
       3. В поле Тик выборов укажите количество интервалов ожидания контрольного сообщения от узла-лидера, после которого узел начинает выборы нового лидера.
       4. В поле Тик обработки предложений укажите период формирования операций записи Raft из накопившихся запросов. Чем больше значение, тем больше запросов может быть объединено в одну операцию, но тем выше задержка их обработки.
       5. В поле Порог количества байт для отправки предложения укажите максимальный объем данных, который может быть накоплен перед формированием операции записи Raft. При достижении указанного значения операция формируется независимо от заданного периода обработки предложений.
       6. В поле Максимальный размер подтвержденных записей за тик укажите максимальное количество записей, которое может быть применено за один внутренний цикл коррелятора. Ограничение позволяет снизить пиковую нагрузку при большом количестве событий.
       7. В поле Порог количества записей для создания снимка укажите количество подтвержденных записей, после которого создается снимок состояния Raft-журнала. Снимок уменьшает размер журнала и ускоряет восстановление состояния.
       8. В поле Шарды укажите количество независимых частей коррелятора, каждая из которых имеет собственный Raft-журнал и набор контейнеров. Увеличение количества шардов позволяет распределить нагрузку, но увеличивает потребление ресурсов.
       9. В поле Время ожидания запроса (сек.) укажите максимальное время ожидания ответа от удаленного сервиса. Если ответ не получен за указанное время, запрос считается неуспешным.
       10. В поле Время ожидания запроса снимка (сек.) укажите максимальное время ожидания выполнения операции со снимком состояния Raft.
       11. В поле Лимит очереди отправки укажите максимальное количество записей, которые могут находиться в очереди перед отправкой в точку назначения. Ограничение позволяет контролировать потребление памяти при высокой нагрузке.
   21. Нажмите на кнопку Создать.

   Simple

   Правила корреляции с типом Simple используются для определения простых последовательностей событий.

   Чтобы настроить правило корреляции типа Simple:

   1. На вкладке Общие в раскрывающемся списке Приоритет выберите приоритет, который будет назначен корреляционному событию:
      • Низкий.
      • Средний.
      • Высокий.
      • Критический.
   2. В поле Ограничение скорости укажите максимальное количество срабатываний правила корреляции в секунду.
   3. Перейдите на вкладку Селекторы и настройте следующие параметры:
      1. На вкладке Параметры задайте условия определения событий, которые будут обрабатываться с применением правила корреляции. Условие можно ввести вручную на вкладке Код или построить на вкладке Конструктор.

         При формировании условий фильтрации вы можете переключаться между режимами. При переключении между режимами сформированные условия фильтров сохраняются.

      2. На вкладке Локальные переменные вы можете добавить переменные, которые будут действовать в пределах правила корреляции.

         Для добавления переменной нажмите на кнопку + Добавить, после чего укажите переменную и ее значение. Вы можете добавить несколько переменных и удалить переменные. Для удаления переменной установите рядом с ней флажок и нажмите на кнопку Удалить переменную.

   4. Перейдите на вкладку Действия.
   5. Если вы хотите включить отправку корреляционных событий на пост-обработку (на внешнее обогащение вне корреляционного правила, для реагирования и в точки назначения), включите переключатель Выходные данные. По умолчанию этот переключатель выключен.
   6. Если вы хотите включить обработку созданного корреляционного события цепочкой правил текущего коррелятора, включите переключатель Коррелировать. Это позволят достичь иерархической корреляции. По умолчанию переключатель выключен.

      Если вы включаете переключатели Выходные данные и Коррелировать, правило корреляции будет отправлено сначала на пост-обработку, а затем в селекторы текущего правила корреляции.

   7. Если вы хотите выключить создание алертов при срабатывании правила корреляции, включите переключатель Игнорировать алерт. По умолчанию этот переключатель выключен.

      Если вы хотите, чтобы алерт не создавался при срабатывании правила корреляции, но корреляционное событие все-равно отправлялось в хранилище, включите переключатели Выходные данные и Игнорировать алерт. Если включен только переключатель Игнорировать алерт, корреляционное событие не будет сохраняться в хранилище.

   8. В блоке Обогащение нажмите на кнопку Добавить обогащение и выполните следующие действия:
      1. В раскрывающемся списке Тип выберите одно из следующих значений:
         • Для типа обогащения Выражение настройте следующие параметры:
           • В поле Выражение введите выражение с помощью которого преобразуется значение. Выражение может содержать функции и переменные.
           • В раскрывающемся списке Целевое поле выберите поле нормализованного события, в которое записывается результат выполнения выражения.
         • Для типа Шаблон настройте следующие параметры:
           • В поле Шаблон укажите имена полей событий в формате {{.EventField}}, где EventField – это название поля события, значение которого должно быть передано в скрипт, например Атака на {{.DestinationAddress}} со стороны {{.SourceAddress}}.
           • В раскрывающемся списке Целевое поле выберите поле события, в которое требуется поместить данные.

         Вы можете создать несколько правил обогащения, изменить порядок правил обогащения и удалить правила обогащения. Для изменения порядка правил обогащения используйте значки изменения порядка . Для удаления правила обогащения нажмите рядом с ним на значок удаления .

   9. В блоке Обновление активных листов нажмите на кнопку + Добавить действие с активным листом и настройте следующие параметры:
      1. В раскрывающемся списке Активный лист выберите нужный активный лист NG.
      2. В поле Ключевые поля укажите поля события, которые используются для создания записи активного листа. Указанные поля событий также используются в качестве ключа записи активного листа.

         Ключ записи активного листа зависит только от состава полей событий и не зависит от порядка их отображения в веб-интерфейсе KUMA.

         Вы можете добавить несколько ключевых полей по кнопке + Добавить действие с активным листом. Для удаления ключевого поля нажмите рядом с ним на значок корзины .

      3. В раскрывающемся списке Операция выберите операцию, которая выполняется с активным листом:
         • Сложить – прибавить константу, значение поля корреляционного события или значение локальной переменной к значению активного листа.
         • Установить – записать значения указанных полей корреляционного события в активный лист, создав новую или обновив существующую запись активного листа. При обновлении записи активного листа данные объединяются, и только указанные поля перезаписываются.
         • Удалить – удалить запись из активного листа.
      4. В блоке Сопоставление вы можете использовать правила сопоставления, если в раскрывающемся списке Операция вы выбрали значение Сложить или Установить. Для создания правила сопоставления нажмите на кнопку + Добавить сопоставление.

         Доступные параметры правила сопоставления:

         • Поле – поле активного листа, которое сопоставляется с полем события. Поле не должно содержать специальные символы или только цифры.
         • Выражение – поле события, с которым сопоставляется поле активного листа.

         Вы можете создать несколько правил сопоставления и удалить правила сопоставления. Для удаления правила сопоставления установите рядом с ним флажок и нажмите на кнопку Удалить сопоставление.

         Вы можете создать несколько операций с активными листами, изменить порядок операций с активными листами и удалить операции с активными листами. Для изменения порядка операций с активными листами используйте значки изменения порядка . Для удаления операции с активным листом нажмите рядом с ней на значок удаления .

   10. В блоке Обновление контекстных таблиц нажмите на кнопку + Добавить действие с контекстной таблицей и настройте следующие параметры:
       1. В раскрывающемся списке Контекстная таблица выберите нужную контекстную таблицу NG.
       2. В раскрывающемся списке Операция выберите операцию, которая выполняется с активным листом:
          • Сложить – прибавить константу, значение поля корреляционного события или значение локальной переменной к значению указанного поля контекстной таблицы.
          • Установить – записать значения указанных полей корреляционного события в контекстную таблицу, создав новую или обновив существующую запись контекстной таблицы. При обновлении записи контекстной таблицы данные объединяются, и только указанные поля перезаписываются.
          • Объединить – дописать значение поля корреляционного события, локальной переменной или константы к существующему значению поля контекстной таблицы.
          • Удалить – удалить запись из контекстной таблицы.
       3. В блоке Сопоставление вы можете использовать правила сопоставления, если в раскрывающемся списке Операция вы выбрали значение Сложить, Установить или Объединить. Для создания правила сопоставления нажмите на кнопку + Добавить сопоставление.

          Доступные параметры правила сопоставления:

          • Поле – поле контекстной таблицы, которое сопоставляется с полем события. Поле не должно содержать специальные символы или только цифры.
          • Выражение – поле события, с которым сопоставляется поле контекстной таблицы.

          Вы можете создать несколько правил сопоставления и удалить правила сопоставления. Для удаления правила сопоставления установите рядом с ним флажок и нажмите на кнопку Удалить сопоставление.

   11. Нажмите на кнопку Создать.

   Operational

   Правила корреляции с типом Operational используются для работы с активными листами.

   Чтобы настроить правило корреляции типа Operational:

   1. Перейдите на вкладку Селекторы и настройте следующие параметры:
      1. На вкладке Параметры задайте условия определения событий, которые будут обрабатываться с применением правила корреляции. Условие можно ввести вручную на вкладке Код или построить на вкладке Конструктор.

         При формировании условий фильтрации вы можете переключаться между режимами. При переключении между режимами сформированные условия фильтров сохраняются.

      2. На вкладке Локальные переменные вы можете добавить переменные, которые будут действовать в пределах правила корреляции.

         Для добавления переменной нажмите на кнопку + Добавить, после чего укажите переменную и ее значение. Вы можете добавить несколько переменных и удалить переменные. Для удаления переменной установите рядом с ней флажок и нажмите на кнопку Удалить переменную.

   2. Перейдите на вкладку Действия.
   3. В блоке Обновление активных листов нажмите на кнопку + Добавить действие с активным листом и настройте следующие параметры:
      1. В раскрывающемся списке Активный лист выберите нужный активный лист NG.
      2. В поле Ключевые поля укажите поля события, которые используются для создания записи активного листа. Указанные поля событий также используются в качестве ключа записи активного листа.

         Ключ записи активного листа зависит только от состава полей событий и не зависит от порядка их отображения в веб-интерфейсе KUMA.

         Вы можете добавить несколько ключевых полей по кнопке + Добавить действие с активным листом. Для удаления ключевого поля нажмите рядом с ним на значок корзины .

      3. В раскрывающемся списке Операция выберите операцию, которая выполняется с активным листом:
         • Сложить – прибавить константу, значение поля корреляционного события или значение локальной переменной к значению активного листа.
         • Установить – записать значения указанных полей корреляционного события в активный лист, создав новую или обновив существующую запись активного листа. При обновлении записи активного листа данные объединяются, и только указанные поля перезаписываются.
         • Удалить – удалить запись из активного листа.
      4. В блоке Сопоставление вы можете использовать правила сопоставления, если в раскрывающемся списке Операция вы выбрали значение Сложить или Установить. Для создания правила сопоставления нажмите на кнопку + Добавить сопоставление.

         Доступные параметры правила сопоставления:

         • Поле – поле активного листа, которое сопоставляется с полем события. Поле не должно содержать специальные символы или только цифры.
         • Выражение – поле события, с которым сопоставляется поле активного листа.

         Вы можете создать несколько правил сопоставления и удалить правила сопоставления. Для удаления правила сопоставления установите рядом с ним флажок и нажмите на кнопку Удалить сопоставление.

         Вы можете создать несколько операций с активными листами, изменить порядок операций с активными листами и удалить операции с активными листами. Для изменения порядка операций с активными листами используйте значки изменения порядка . Для удаления операции с активным листом нажмите рядом с ней на значок удаления .

   4. В блоке Обновление контекстных таблиц нажмите на кнопку + Добавить действие с контекстной таблицей и настройте следующие параметры:
      1. В раскрывающемся списке Контекстная таблица выберите нужную контекстную таблицу NG.
      2. В раскрывающемся списке Операция выберите операцию, которая выполняется с активным листом:
         • Сложить – прибавить константу, значение поля корреляционного события или значение локальной переменной к значению указанного поля контекстной таблицы.
         • Установить – записать значения указанных полей корреляционного события в контекстную таблицу, создав новую или обновив существующую запись контекстной таблицы. При обновлении записи контекстной таблицы данные объединяются, и только указанные поля перезаписываются.
         • Объединить – дописать значение поля корреляционного события, локальной переменной или константы к существующему значению поля контекстной таблицы.
         • Удалить – удалить запись из контекстной таблицы.
      3. В блоке Сопоставление вы можете использовать правила сопоставления, если в раскрывающемся списке Операция вы выбрали значение Сложить, Установить или Объединить. Для создания правила сопоставления нажмите на кнопку + Добавить сопоставление.

         Доступные параметры правила сопоставления:

         • Поле – поле контекстной таблицы, которое сопоставляется с полем события. Поле не должно содержать специальные символы или только цифры.
         • Выражение – поле события, с которым сопоставляется поле контекстной таблицы.

         Вы можете создать несколько правил сопоставления и удалить правила сопоставления. Для удаления правила сопоставления установите рядом с ним флажок и нажмите на кнопку Удалить сопоставление.

   5. Нажмите на кнопку Создать.
7. Нажмите на кнопку Создать.

Правило корреляции создано и привязано к набору ресурсов для коррелятора. Оно отображается в таблице правил корреляции, а также в списке ресурсов в разделе Ресурсы → Правила корреляции.

С помощью поля Поиск можно искать правила корреляции. Добавленные правила корреляции можно убрать из набора ресурсов, выбрав нужные правила и нажав Удалить.

При выборе правила корреляции открывается окно с его параметрами: параметры можно изменить и Сохранить. При нажатии в этом окне на кнопку Удалить, правило корреляции отвязывается от набора ресурсов.

С помощью кнопок Поднять и Опустить можно изменять положение выбранных правил корреляции в таблице правил корреляции, что отражается на последовательности их выполнения при обработке событий. С помощью кнопки Поднять operational-правила можно переместить правила корреляции типа operational в начало списка правил корреляции.

Обогащение событий

Вы можете создать правила обогащения с указанием, какими данными и из каких источников следует дополнить создаваемые коррелятором корреляционные события. Правил обогащения может быть несколько. Их можно добавить с помощью кнопки Добавить или удалить с помощью кнопки Удалить.

Чтобы добавить правило обогащения:

1. В разделе Обогащение нажмите на кнопку Добавить.
2. В поле Название введите уникальное имя правила обогащения. Название должно содержать от 1 до 128 символов в кодировке Unicode.
3. В раскрывающемся списке Тенант выберите тенант, которому будет принадлежать правило обогащения.
4. В раскрывающемся списке Тип правила выберите, откуда будут поступать данные для обогащения, и заполните относящиеся к нему параметры:

   Выражение

   Этот способ обогащения предназначен для преобразования значения поля события с помощью выражений и функций. Результат выполнения выражения записывается в указанное поле события и может использоваться при дальнейшей обработке и корреляции событий.

   Параметры типа обогащения "выражение"

   Параметр	Описание
   Выражение	Выражение, с помощью которого преобразуется значение. Выражение может содержать функции и переменные.
   Поле события для записи	Поле нормализованного события, в которое записывается результат выполнения выражения.

   В выражении можно использовать значение текущего поля с помощью переменной {value} и обращаться к другим полям события. Для преобразования значений доступны функции обогащения.

   Например, чтобы сформировать составное значение из имени хоста и домена, можно использовать выражение:

   concat({SourceHostName}, ".", {SourceDomain})

   Результат будет записан в поле, указанное в параметре Поле события для записи.

   Шаблон

   Этот тип обогащения используется, если в поле события нужно записать значение, полученное при обработке шаблонов Go. Мы рекомендуем сопоставлять значение и размер поля. Параметры этого типа обогащения описаны в таблице ниже.

   Параметры типа обогащения "шаблон"

   Параметр	Описание
   Шаблон	Шаблон Go. Имена полей событий передаются в формате {{.EventField}}, где EventField – это название поля события, значение которого должно быть передано в скрипт, например Атака на {{.DestinationAddress}} со стороны {{.SourceAddress}}.
   Поле события для записи	Поле события, в которое требуется поместить данные.

   Если вы используете обогащение событий, у которого в качестве параметра Тип правила выбрано значение шаблон, целевым полем является поле с типом Строка, а исходным полем является поле расширенной схемы событий, содержащее массив строк, то в шаблоне может быть использован один из следующих примеров:

   • {{.SA.StringArrayOne}}
   • {{- range $index, $element := . SA.StringArrayOne -}}

     {{- if $index}}, {{end}}"{{$element}}"{{- end -}}

   Для преобразования в шаблоне данных поля массива в формат TSV требуется использовать функцию toString, например:

   template {{toString .SA.StringArray}}

   DNS

   Этот тип обогащения используется для отправки запросов на DNS-сервер частной сети для преобразования IP-адресов в доменные имена или наоборот. Преобразование IP-адресов в DNS-имена происходит только для частных адресов: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, 100.64.0.0/10, fd00::/8.

   Параметры этого типа обогащения описаны в таблице ниже.

   Параметры типа обогащения "dns"

   Параметр	Описание
   DNS-серверы	URL DNS-сервера, которому вы хотите отправлять запросы. С помощью кнопки Добавить DNS-сервер можно указать несколько URL. Если параметр DNS-серверы не указан, то KUMA возьмет список DNS-серверов из файла /etc/resolv.conf, расположенного на локальном хосте. В этом случае вам нужно включить переключатель Рекурсивный запрос. В противном случае обогащение происходить не будет.
   Лимит DNS-пакетов (RPS)	Максимальное количество DNS-пакетов в секунду для правила, включая повторные попытки и переход к следующему серверу.
   Параллелизм DNS	Максимальное количество пакетов событий и отдельных DNS-запросов, обрабатываемых одновременно.
   Время ожидания DNS-запроса (сек.)	Время ожидания ответа от DNS-сервера (в секундах). Значение по умолчанию: 5.
   Попытки на DNS-сервер	Количество попыток запроса к каждому DNS-серверу для одного имени, включая первую попытку.
   Домены поиска	Домены поиска, добавляемые к относительным DNS-именам. С помощью кнопки Добавить домен поиска можно указать несколько доменов.
   Режим DNS	Используемый метод преобразования: Только прямое разрешение DNS – доменное имя преобразуется в IP-адрес. Только обратное разрешение DNS – IP-адрес преобразуется в доменное имя. Прямое и обратное DNS-разрешение – доменное имя может преобразовываться в IP-адрес и наоборот.
   Рекурсивный запрос	Переключатель позволяет включить отправку коллектором рекурсивных запросов к авторитативным DNS-серверам для выполнения обогащения. Переключатель по умолчанию выключен.
   Отключить кеш	Переключатель, позволяющий включить или выключить кеширование. По умолчанию кеширование выключено.
   Срок жизни кеша (сек.)	Время жизни значений (в секундах), хранящихся в кеше. Значение по умолчанию: 60 (сек).
   Входная очередь (пакеты событий)	Максимальное количество пакетов событий, ожидающих DNS-обработки. Минимальное значение: 1.

   CyberTrace

   Этот тип обогащения используется для добавления в поля события сведений из потоков данных Kaspersky CyberTrace. Параметры этого типа обогащения описаны в таблице ниже.

   Параметры типа обогащения "cybertrace"

   Параметр	Описание
   Секрет	Раскрывающийся список для выбора секрета, в котором хранятся учетные данные для подключения. Обязательный параметр.
   URL	URL сервера Kaspersky CyberTrace, которому вы хотите отправлять запросы. Обязательный параметр.
   Выражения значений	Выражения, которые отправляются в CyberTrace для проверки репутации. Вы можете добавить несколько выражений с помощью кнопки Добавить выражение значения.
   Обработчики	Количество обработчиков, которые сервис может запускать одновременно для параллельной обработки событий. Укажите целое положительное число от 0 до 999. Если указано 0, то используется число логических ядер CPU.
   Время ожидания (сек.)	Время ожидания отклика от сервера Kaspersky CyberTrace в секундах. Значение по умолчанию: 30.
   Основная версия CyberTrace	Версия Kaspersky CyberTrace. Доступные значения: <5 – запросы будут использовать версию API, соответствующую Kaspersky CyberTrace 4.x. ≥ 5.0 – запросы будут выполняться в тенанте General в Kaspersky CyberTrace и будут использовать новую версию API, соответствующую Kaspersky CyberTrace 5.0 и выше. Значение по умолчанию: <5.
   Пропускная способность входящего потока	Максимальная скорость поступления событий на обработку правилом обогащения.
   Максимальный размер буфера (байты)	Максимальный размер буфера для накопления событий перед их обработкой или отправкой.
   Интервал сброса (мс)	Интервал в миллисекундах, через который накопленные в буфере события передаются на дальнейшую обработку.
   Максимальное количество событий для повторного обогащения	Максимальное количество событий, сохраняемое в очереди для переотправки.
   Интервал повтора (сек.)	Интервал в секундах между повторными попытками отправить запрос на сервер CyberTrace при неудачном выполнении запроса.
   Максимальное количество попыток	Максимальное количество подключений к серверу Kaspersky CyberTrace, которые может одновременно установить Kaspersky SIEM. Значение по умолчанию равно количеству vCPU сервера, на котором установлено Ядро KUMA.

   Геоданные

   Этот тип обогащения используется для добавления в поля событий сведений о географическом расположении IP-адресов.

   При выборе этого типа в блоке параметров Сопоставление геоданных с полями события укажите, из какого поля события будет считан IP-адрес, а также выберите атрибуты геоданных и определите поля событий, в которые геоданные будут записаны:

   1. В раскрывающемся списке Поле события с IP-адресом выберите поле события, из которого считывается IP-адрес. По этому IP-адресу будет произведен поиск соответствий по загруженным в KUMA геоданным.

      При выборе полей события SourceAddress, DestinationAddress и DeviceAddress становится доступна кнопка Применить сопоставление по умолчанию. С ее помощью можно добавить преднастроенные пары соответствий атрибутов геоданных и полей события.

   2. Для каждого поля события, откуда требуется считать IP-адрес, выберите тип геоданных и поле события, в которое следует записать геоданные.
      • В поле Атрибут геоданных выберите, какие географические сведения, соответствующие считанному IP-адресу, необходимо записать в событие. Доступные атрибуты геоданных: Страна, Регион, Город, Долгота, Широта.
      • В поле Поле события для записи выберите поле события, в которое необходимо записать выбранный атрибут геоданных.

      С помощью кнопки Добавить атрибут геоданных вы можете добавить пары полей Атрибут геоданных – Поле события для записи. Так вы можете настроить запись разных типов геоданных одного IP-адреса в разные поля события.

   3. Для добавления каждого последующего сопоставления используйте кнопку Добавить сопоставление и повторяйте предыдущие два пункта инструкции.

      Вы можете записать одинаковые атрибуты геоданных в разные поля событий. Если вы настроите запись нескольких атрибутов геоданных в одно поле события, событие будет обогащено последним по очереди сопоставлением.

   Активы

   Этот способ обогащения предназначен для поиска актива по значениям полей нормализованного события. Если соответствующий актив найден, идентификатор актива (AssetID) записывается в указанное поле события.

   Параметры типа обогащения "активы"

   Параметр	Описание
   Поле исходного события	Поле нормализованного события, значение которого используется для поиска соответствующего актива в базе KUMA. Доступны поля, которые могут использоваться для сопоставления с активом, например DeviceAddress, DeviceHostName, SourceAddress, SourceHostName, DestinationAddress, DestinationHostName.
   Поле целевого события	Поле события, в которое записывается идентификатор найденного актива (AssetID). Доступны поля SourceAssetID, DeviceAssetID и DestinationAssetID.

   При выполнении обогащения значение из Поле исходного события сравнивается с данными актива. При успешном сопоставлении идентификатор найденного актива записывается в Поле целевого события. Если соответствующий актив не найден, значение в целевом поле не заполняется.

   Учетные записи

   Этот способ обогащения предназначен для поиска учетной записи по значениям полей события и атрибутам учетной записи. Правило позволяет сопоставить данные события с учетной записью из каталога и записать идентификатор найденной учетной записи (AccountID) в событие.

   Параметры типа обогащения "учетные записи"

   Параметр	Описание
   Поле целевого события	Поле нормализованного события, в которое записывается идентификатор найденной учетной записи (AccountID). Доступны поля SourceAccountID и DestinationAccountID.
   Поле доменного события	Поле события, содержащее имя домена, в котором нужно выполнять поиск учетной записи. Если значение поля не задано, поиск выполняется во всех доменах, указанных в правиле.
   Сопоставление	Набор соответствий между полями события и атрибутами учетной записи. Значение поля события сравнивается с соответствующим атрибутом учетной записи. Чтобы добавить соответствие, нажмите на кнопку Добавить и укажите: Поле события – поле события, значение которого используется для поиска. Поле учетной записи – атрибут учетной записи, с которым сравнивается значение поля события.

   Если учетная запись найдена, ее AccountID записывается в Поле целевого события. Если в правиле задано несколько соответствий, они проверяются последовательно до нахождения совпадения.

5. При необходимости в раскрывающемся списке Теги выберите теги для правила обогащения.
6. При необходимости в поле Описание добавьте описание правила обогащения.
7. В блоке параметров Селектор можно задать условия определения событий, которые будут обрабатываться с применением правила обогащения. Условие можно ввести вручную на вкладке Код или построить на вкладке Конструктор.

   При формировании условий фильтрации вы можете переключаться между режимами. При переключении между режимами сформированные условия фильтров сохраняются.

8. Нажмите на кнопку Создать.

В набор ресурсов для коррелятора добавлено новое правило обогащения.

Добавление правила реагирования

Вы можете создать правила реагирования с указанием, какие действия требуется выполнить при срабатывании правил корреляции. Правил реагирования может быть несколько. Их можно добавить с помощью кнопки Добавить или удалить с помощью кнопки Удалить.

Чтобы добавить правило реагирования:

1. В разделе Реагирование нажмите на кнопку Добавить.
2. В поле Название введите уникальное имя правила реагирования. Название должно содержать от 1 до 128 символов в кодировке Unicode.
3. В раскрывающемся списке Тенант выберите тенант, которому будет принадлежать правило реагирования.
4. В раскрывающемся списке Тип выберите тип правила реагирования и заполните относящиеся к нему параметры:
   • Реагирование через KSC – правила реагирования для автоматического запуска задач на активах Kaspersky Security Center. Например, вы можете настроить автоматический запуск антивирусной проверки или обновление базы данных.

     Автоматический запуск задач выполняется при интеграции KUMA с Kaspersky Security Center. Задачи запускаются только на активах, импортированных из Kaspersky Security Center.

     Параметры реагирования

     • Задача Kaspersky Security Center (обязательно) – название задачи Kaspersky Security Center, которую требуется запустить. Задачи должны быть созданы заранее, и их названия должны начинаться со слова "KUMA ". Например, "KUMA antivirus check".

       Типы задач Kaspersky Security Center, которые можно запустить с помощью KUMA:

       • обновление;
       • поиск вирусов.
     • Поле события (обязательно) – определяет поле события для актива, для которого нужно запустить задачу Kaspersky Security Center. Возможные значения:
       • SourceAssetID
       • DestinationAssetID
       • DeviceAssetID

     Для отправки запросов в Kaspersky Security Center необходимо убедиться, что Kaspersky Security Center доступен по протоколу UDP.

   • Запуск скрипта – правила реагирования для автоматического запуска скрипта. Например, вы можете создать скрипт с командами, которые требуется выполнить на сервере KUMA при обнаружении выбранных событий.

     Файл скрипта хранится на сервере, где установлен сервис коррелятора, использующий ресурс реагирования: /opt/kaspersky/kuma/correlator/<Идентификатор коррелятора>/scripts.

     Пользователю kuma этого сервера требуются права на запуск скрипта.

     Параметры реагирования

     • Время ожидания – количество секунд, которое выждет система, прежде чем запустить скрипт.
     • Название скрипта (обязательно) – имя файла скрипта.

       Если ресурс реагирования прикреплен к сервису коррелятора, однако в папке /opt/kaspersky/kuma/correlator/<Идентификатор коррелятора>/scripts файл скрипта отсутствует, коррелятор не будет работать.

     • Аргументы скрипта – параметры или значения полей корреляционных событий, которые необходимо передать скрипту.

       Если в скрипте производятся какие-либо действия с файлами, к ним следует указывать абсолютный путь.

       Параметры можно обрамлять кавычками (").

       Имена полей корреляционных событий передаются в формате {{.EventField}}, где EventField – это имя поля события, значение которого должно быть передано в скрипт.

       Пример: -n "\"usr\": {{.SourceUserName}}"

   • Реагирование через KEDR – правила реагирования для автоматического создания правил запрета, запуска сетевой изоляции или запуска программы на активах Kaspersky Endpoint Detection and Response и Kaspersky Security Center.

     Автоматические действия по реагированию выполняются при интеграции KUMA с Kaspersky Endpoint Detection and Response.

     Параметры реагирования

     • Поле события (обязательно) – поле события с активом, для которого нужно выполнить действия по реагированию. Возможные значения:
       • SourceAssetID.
       • DestinationAssetID.
       • DeviceAssetID.
     • Тип задачи – действие по реагированию, которое требуется выполнить при получении данных, соответствующих фильтру. Доступны следующие типы действий по реагированию:
       • Включить сетевую изоляцию.

         При выборе этого типа реагирования вам нужно задать значения для следующих параметров:

         • Срок действия изоляции – количество часов, в течение которых будет действовать сетевая изоляция актива. Вы можете указать от 1 до 9999 часов.

           При необходимости вы можете добавить исключение для сетевой изоляции.

           Как добавить исключение для сетевой изоляции

           Чтобы добавить исключение для сетевой изоляции:

           1. Нажмите на кнопку Добавить исключение.
           2. Выберите направление сетевого трафика, которое не должно быть заблокировано:
              • Входящее.
              • Исходящее.
              • Входящее/Исходящее.
           3. В поле IP актива введите IP-адрес актива, сетевой трафик которого не должен быть заблокирован.
           4. Если вы выбрали Входящее или Исходящее, укажите порты подключения в полях Удаленные порты и Локальные порты.
           5. Если вы хотите добавить более одного исключения, нажмите на кнопку Добавить исключение и повторите действия по заполнению полей Направление трафика, IP актива, Удаленные порты и Локальные порты.
           6. Если вы хотите удалить исключение, нажмите на кнопку Удалить под нужным вам исключением.

           При добавлении исключений в правило сетей изоляции Kaspersky Endpoint Detection and Response может некорректно отображать значения портов в информации о правиле. Это не влияет на работоспособность программы. Подробнее о просмотре правила сетевой изоляции см. в справке Kaspersky Anti Targeted Attack Platform.

       • Выключить сетевую изоляцию.
       • Добавить правило запрета.

         При выборе этого типа реагирования вам нужно задать значения для следующих параметров:

         • Поля события для получения хеш-суммы – поля событий, из которых KUMA извлекает SHA256- или MD5-хеши файлов, запуск которых требуется запретить.

           Выбранные поля событий, а также значения, выбранные в Поле события, требуется добавить в наследуемые поля правила корреляции.

         • Хеш файла №1 – SHA256- или MD5-хеш файла, который требуется запретить.

         Хотя бы одно из указанных выше полей должно быть заполнено.

       • Удалить правило запрета.
       • Запустить программу.

         При выборе этого типа реагирования вам нужно задать значения для следующих параметров:

         • Путь к файлу – путь к файлу процесса, который вы хотите запустить.
         • Аргументы командной строки – параметры, с которыми вы хотите запустить файл.
         • Текущая директория – директория, в которой на момент запуска располагается файл.
         • Хосты – хосты, на которых необходимо выполнить указанную программу.

         При срабатывании правила реагирования для пользователей с ролью главный администратор в разделе Диспетчер задач веб-интерфейса программы отобразится задача Запустить программу. В столбце Создал таблицы задач для этой задачи отображается Задача по расписанию. Вы можете просмотреть результат выполнения задачи.

         Все перечисленные операции выполняются на активах с Kaspersky Endpoint Agent для Windows. На активах с Kaspersky Endpoint Agent для Linux выполняется только запуск программы.

         На программном уровне возможность создания правил запрета и сетевой изоляции для активов с Kaspersky Endpoint Agent для Linux не ограничена. KUMA и Kaspersky Endpoint Detection and Response не уведомляют о неуспешном применении этих правил.

   • Реагирование через KICS/KATA – правила реагирования для автоматического запуска задач в на активах KICS for Networks. Например, изменить статус актива в KICS for Networks.

     Автоматический запуск задач выполняется при интеграции KUMA с KICS for Networks.

     Параметры реагирования

     • Поле события (обязательно) – поле события с активом, для которого нужно выполнить действия по реагированию. Возможные значения:
       • SourceAssetID.
       • DestinationAssetID.
       • DeviceAssetID.
     • Статус актива в KICS/KATA – статус, который нужно установить для указанного актива. Доступны следующие значения:
       • Неавторизованный.
       • Авторизованный.

       При срабатывании правила реагирования из KUMA в KICS/KATA будет отправлен API-запрос на изменение статуса указанного актива на выбранный статус.

   • Реагирование через Active Directory – правила реагирования для изменения прав пользователей Active Directory. Например, блокировать пользователя.

     Запуск задач выполняется при интеграции с Active Directory.

     Параметры реагирования

     • Источник идентификатора учетной записи– поле события, откуда будет взято значение идентификатора учетной записи Active Directory. Возможные значения:
       • SourceAccountID.
       • DestinationAccountID.
     • Команда Active Directory – команда, которая будет применяться к учетной записи при срабатывании правила реагирования. Доступные значения
       • Добавить учетную запись в группу.
       • Удалить учетную запись из группы.
       • Сбросить пароль учетной записи.
       • Блокировать учетную запись.
5. В блоке параметров Селектор можно задать условия определения событий, которые будут обрабатываться с применением правила реагирования. Условие можно ввести вручную на вкладке Код или построить на вкладке Конструктор.

   При формировании условий фильтрации вы можете переключаться между режимами. При переключении между режимами сформированные условия фильтров сохраняются.

6. Нажмите на кнопку Создать.

В набор ресурсов для коррелятора добавлено новое правило реагирования.

Добавление точки назначения

Вы можете создать точки назначения, в параметрах которых будут определено, куда следует перенаправлять созданные коррелятором события. Обычно события от коррелятора перенаправляются в хранилище для хранения и для возможности просматривать их позднее. При необходимости события можно отправлять в другие места. Точек назначения может быть несколько.

Чтобы добавить точку назначения:

1. В разделе Маршрутизация нажмите на кнопку Добавить.
2. На вкладке Основные параметры укажите следующие параметры:
   1. В поле Название введите уникальное имя точки назначения. Название должно содержать от 1 до 128 символов в кодировке Unicode.
   2. В раскрывающемся списке Тенант выберите тенант, которому будет принадлежать точка назначения.
   3. С помощью переключателя Состояние вы можете при необходимости включить или выключить точку назначения.
   4. В раскрывающемся списке Тип точки назначения выберите тип точки назначения. Доступны следующие значения:
      • Хранилище.
      • Внутренний.
      • Коррелятор.
   5. В поле URL укажите URL, с которым требуется установить связь. Поддерживаются следующие форматы URL-адресов:
      • <имя хоста>:<номер порта>;
      • <IPv4-адрес>:<номер порта>;
      • <IPv6-адрес><номер порта>.
      • IPv6-адреса можно указать в формате [<IPv6-адрес>%<интерфейс>:<номер порта>, например [fe80::5054:ff:fe4d:ba0c%eth0]:4222.

      Вы можете добавить и удалить несколько URL. Kaspersky SIEM не позволяет сохранить ресурс или сервис если в поле URL есть знак табуляции или пробел. Для добавления URL нажмите на кнопку Добавить URL. Для удаления URL нажмите рядом с ним на значок корзины .

   6. В поле Путь укажите путь, который требуется добавить в запрос к URL, указанному в поле URL. Например, если вы укажете путь /input, а в качестве URL укажете 10.10.10.10, от точки назначения будут исходить запросы 10.10.10.10/input.
   7. При необходимости в поле Теги укажите теги для поиска точки назначения.
   8. При необходимости в поле Описание введите описание точки назначения. Максимальная длина описания составляет до 4000 символов в кодировке Unicode.
   9. В блоке параметров Селектор можно задать условия определения событий, которые будут отправляться в точку назначения. Условие можно ввести вручную на вкладке Код или построить на вкладке Конструктор.

      При формировании условий фильтрации вы можете переключаться между режимами. При переключении между режимами сформированные условия фильтров сохраняются.

3. На вкладке Дополнительные параметры укажите следующие параметры:
   1. В раскрывающемся списке Политика выбора URL выберите способ определения URL, на которые события отправляются в первую очередь, если вы добавили несколько URLв поле URL на вкладке Основные параметры:
      • Сначала первый – события отправляются на первый добавленный UR. Если URL-адрес станет недоступным, события будут отправляться на следующий добавленный доступный URL. Если первый добавленный URL снова станет доступным, события будут отправляться на него.
      • Сбалансированный – события равномерно распределяются между доступными URL. Этот способ определения URL не гарантирует равномерного распределения событий по URL, так как буфер может быть переполнен или события могут быть отправлены в точку назначения. Вы можете указать размер буфера в байтах в поле Размер буфера, а также указать интервал в секундах для отправки событий в точку назначения в поле Интервал очистки буфера.
   2. В поле Время ожидания укажите время в секундах, в течение которого точка назначения ожидает ответа другого сервиса или компонента.
   3. В поле Путь проверки работоспособности укажите URL для отправки запросов для получения данных о работоспособности системы, с которой ресурс точки назначения устанавливает связь.
   4. В поле Ожидание проверки работоспособности укажите интервал в секундах для проверки работоспособности точки назначения.
   5. В поле Размер буфера укажите размер буфера в байтах для накопления событий в оперативной памяти сервера перед отправкой на дальнейшую обработку или хранение. Вы можете указать целое положительное число. Размер буфера по умолчанию: 1048576 байтов.
   6. В поле Интервал очистки буфера укажите интервал в секундах для отправки событий в точку назначения. Значение по умолчанию: 1 секунда.
   7. В поле Обработчики укажите количество обработчиков, которые сервис может запускать одновременно для параллельной обработки событий. Значение по умолчанию: 64.
   8. При необходимости включите использование дискового буфера с помощью переключателя Дисковый буфер. По умолчанию этот переключатель включен.

      Дисковый буфер используется, если коллектор не может отправить в точку назначения нормализованные события. Вы можете указать размер дискового буфера в поле Размер дискового буфера. Если в дисковом буфере не останется свободного пространства, новые нормализованные события будут перезаписывать старые нормализованные события, начиная с самого старого.

   9. В поле Размер дискового буфера укажите размер дискового буфера в байтах. Значение по умолчанию: 10737418240 байтов (10 ГБ).
   10. В поле Максимальное количество сегментов буфера на диске укажите максимальное количество сегментов, на которые может быть разделен дисковый буфер. Значение по умолчанию: 10.
   11. В поле Интервал выгрузки дискового буфера (сек.) укажите интервал в секундах между операциями выгрузки событий из дискового буфера для дальнейшей отправки. Значение по умолчанию: 5 секунд.
   12. В поле Интервал fsync для дискового буфера (сек.) укажите интервал в секундах между операциями fsync для записи данных дискового буфера на диск. Значение по умолчанию: 1 секунда.
   13. В поле Интервал синхронизации курсора дискового буфера (сек.) укажите интервал в секундах между операциями синхронизации позиции (курсора) чтения дискового буфера. Значение по умолчанию: 1 секунда.
4. Нажмите на кнопку Создать.

В набор ресурсов для коррелятора добавлена новая точка назначения.

Проверка параметров коррелятора

На этом этапе в KUMA создается набор ресурсов для сервиса и на основе этого набора автоматически создаются сервисы:

• Набор ресурсов для коррелятора отображается в разделе Ресурсы → Корреляторы → NG. Его можно использовать для создания новых сервисов коррелятора. При изменении этого набора ресурсов все сервисы, которые работают на его основе, будут использовать новые параметры, если сервисы перезапустить: для этого можно использовать кнопки Сохранить и перезапустить сервисы и Сохранить и обновить параметры сервисов.

  Набор ресурсов можно изменять, копировать, переносить из папки в папку, удалять, импортировать и экспортировать, как другие ресурсы.

• Сервисы отображаются в разделе Ресурсы → Активные сервисы. Созданные с помощью мастера установки сервисы выполняют функции внутри решения KUMA – для связи с внешними частями сетевой инфраструктуры необходимо установить аналогичные внешние сервисы на предназначенных для них серверах и устройствах. Например, внешний сервис коррелятора следует установить на сервере, предназначенном для обработки событий; внешние сервисы хранилища – на серверах с развернутой службой ClickHouse; внешние сервисы агентов – на тех устройствах Windows, где требуется получать и откуда необходимо пересылать события Windows.

Чтобы проверить параметры коррелятора:

1. Нажмите Сохранить и создать сервис.

   В разделе Проверка параметров отображается таблица сервисов, созданных на основе набора ресурсов, выбранных в мастере установки. В нижней части окна отображаются примеры команд, с помощью которых необходимо установить внешние аналоги этих сервисов на предназначенные для них серверы и устройства.

   Пример

   sudo /opt/kaspersky/kuma/kuma ng correlator --id <service_ID> --core https://<FQDN>:<port> --api.port <API_port> --wd

   sudo /opt/kaspersky/kuma/correlatorNg/<UUID> --pair.fingerprint <CA_certificate_ID>

   где:

   <service_ID> – идентификатор сервиса;

   <FQDN> – полное доменное имя сервера Ядра KUMA;

   <port> – порт, используемый для связи с Ядром KUMA;

   <API_port> – порт, используемый для связи с сервисом;

   <UUID> – уникальный идентификатор коррелятора;

   <CA_certificate_ID> – идентификатор отпечатка CA-сертификата Ядра KUMA.

   Порт для связи с Ядром KUMA, идентификатор сервиса, идентификатор CA-сертификата, порт для связи с сервисом и уникальный идентификатор коррелятора добавляются в команду автоматически. Также следует убедиться в сетевой связности системы KUMA и при необходимости открыть используемые ее компонентами порты.

2. Закройте окно создания коррелятора, нажав Создать.

После завершения создания и настройки коррелятора требуется установить коррелятор KUMA на сервере с помощью команды, скопированной из раздела Проверка параметров.