Настройка детектирующей логики и правил корреляции

Коррелятор – это компонент программы, который анализирует нормализованные события. В процессе корреляции может использоваться информация из активных листов и/или словарей.

Полученные в ходе анализа данные применяются для выполнения следующих задач:

• выявление алертов;
• уведомление о выявленных алертах;
• управление содержимым активных листов;
• отправка корреляционных событий в настроенные точки назначения.

Корреляция событий выполняется в реальном времени. Принцип работы коррелятора основан на сигнатурном анализе событий. Это значит, что каждое событие обрабатывается в соответствии с правилами корреляции, созданными пользователем.

При обнаружении последовательности событий, удовлетворяющих условиям правила корреляции, коррелятор создает корреляционное событие. В зависимости от настроенной конфигурации корреляционное событие может быть отправлено в настроенную точку назначения, передано на повторный анализ в коррелятор или использовано для дальнейшей обработки.

Корреляционное событие можно отправлять на повторный анализ в коррелятор, позволяя таким образом настраивать правила корреляции на срабатывание от предыдущих результатов анализа. Результаты одного корреляционного правила могут использоваться другими корреляционными правилами.

В KUMA можно создать стандартный коррелятор и/или коррелятор NG (новая версия коррелятора). Стандартный коррелятор и коррелятор NG используют разные модели конфигурации и наборы ресурсов.

Коррелятор NG использует NG-версии ресурсов. Эти ресурсы создаются и настраиваются в KUMA и имеют особенности, отличающиеся от соответствующих ресурсов стандартного коррелятора.

Коррелятор NG не является полностью совместимой заменой стандартного коррелятора. При переходе со стандартного коррелятора на коррелятор NG конфигурация может потребовать дополнительной проверки и исправления.

Правила корреляции и используемые ими ресурсы можно распределять между корреляторами, чтобы разделять нагрузку между сервисами. Особенности распределения нагрузки зависят от используемой реализации коррелятора.