Работа с правилами корреляции

Вы можете создавать, копировать, изменять и удалять правила корреляции.

Для наглядного ознакомления с процессом создания правила корреляции вы можете просмотреть видео ниже, а затем воспользоваться пошаговой инструкцией.

Создание правила корреляции

Чтобы создать правило корреляции:

1. В веб-интерфейсе откройте раздел Ресурсы → Правила корреляции и нажмите на кнопку Создать.

   Справа откроется панель создания правила корреляции.

2. На вкладке Общие выполните следующие действия:
   1. Введите имя ресурса в поле Название. Имя ресурса должно быть уникальным в рамках выбранного тенанта.
   2. В раскрывающемся списке Тенант выберите тенант, к которому будет относиться правило корреляции.
   3. В раскрывающемся списке Тип выберите тип правила корреляции: standard, simple или operational.
   4. При необходимости в раскрывающемся списке Теги добавьте теги.
   5. Укажите частоту срабатывания правила корреляции.
   6. При необходимости добавьте описание правила корреляции.
   7. В раскрывающемся списке Техники MITRE выберите техники выявления угроз, которые будут применяться в правиле корреляции.
3. На вкладке Селекторы задайте условия срабатывания правила корреляции. Для этого выполните следующие действия:
   • На вкладке Параметры выполните одно из следующих действий:
     • В раскрывающемся списке Фильтр выберите или создайте фильтр для определения события, при котором будет срабатывать правило корреляции.

       Для сохранения выбранного фильтра установите флажок Сохранить фильтр.

     • Укажите условие для срабатывания правила корреляции с помощью конструктора (смотреть примеры).
     • Введите код условия для срабатывания правила корреляции.
   • При необходимости на вкладке Локальные переменные укажите локальные переменные для условия срабатывания правила.
4. На вкладке Действия добавьте операции по обновлению ресурсов.
5. Нажмите Создать.

Правило корреляции будет создано и доступно для использования в сервисах и других ресурсах.

Копирование правила корреляции

Чтобы скопировать правило корреляции:

1. В веб-интерфейсе откройте раздел Ресурсы → Правила корреляции и установите флажок рядом с правилом корреляции, которое вы хотите скопировать.
2. Нажмите Дублировать.

   В нижней части таблицы отобразится количество выбранных правил.

   Справа откроется панель с параметрами правила корреляции, которое вы выбрали для копирования.

   В поле Название отображается <название выбранного правила корреляции> - копия.

3. Измените нужные параметры (см. инструкцию по созданию правила корреляции).
4. Нажмите Сохранить.

Копия правила корреляции будет создана.

Изменение параметров правила корреляции

Чтобы изменить правило корреляции:

1. В веб-интерфейсе откройте раздел Ресурсы → Правила корреляции и нажмите на правило, которое вы хотите изменить

   Справа откроется панель с параметрами выбранного правила корреляции.

2. Измените нужные параметры (см. инструкцию по созданию правила корреляции).
3. Выполните одно из следующих действий:
   • Нажмите Сохранить, чтобы сохранить изменения.
   • Нажмите Сохранить с комментарием и в открывшемся окне укажите комментарий к внесенным изменениям. Изменения будут сохранены, и комментарий будет добавлен к созданной версии правила корреляции.

   Если при сохранении изменений обнаруживается, что текущая версия правила корреляции была изменена другим пользователем, вам будет предложен выбор из следующих действий:

   • Сохранить ваши изменения как новую версию поверх изменений другого пользователя.
   • Сохранить ваши изменения как новое правило корреляции.

     В этом случае будет создан дубликат изначального правила корреляции с измененными параметрами. В название нового правила будет добавлено - копия, и в комментарии к версии правила корреляции будут указаны название и версия ресурса, с которого был создан дубликат.

   • Отменить ваши изменения.

     Отмененные изменения невозможно восстановить.

Правило корреляции будет обновлено. Если этот ресурс используется в сервисе, перезапустите сервис, чтобы он использовал новую версию правила корреляции.

Удаление правила корреляции

Чтобы удалить правило корреляции:

1. В веб-интерфейсе откройте раздел Ресурсы → Правила корреляции и установите флажок рядом с правилом корреляции, которое вы хотите удалить.

   В нижней части таблицы отобразится количество выбранных ресурсов.

2. Нажмите Удалить.
3. В открывшемся окне подтвердите удаление.

Правило корреляции и все его сохраненные версии будут удалены.