Обогащение событий

Обогащение событий – это дополнение событий информацией, которая может быть использована для выявления инцидента и при проведении расследования.

Обогащение выполняется с помощью правил обогащения. Правила обогащения позволяют добавлять в поля события дополнительную информацию путем преобразования данных, уже размещенных в полях, или с помощью запроса данных из внешних систем. Например, в событии есть имя учетной записи пользователя. С помощью правила обогащения вы можете добавить сведения об отделе, должности и руководителе этого пользователя в поля события.

Правила обогащения можно использовать в коллекторах, корреляторах и нормализаторах.

Если вы создаете правила обогащения в коллекторе и/или корреляторе, такие правила обогащения доступны для переиспользования. Также вы можете привязать к коллектору и/или коррелятору отдельно созданное правило обогащения.

Правила обогащения, созданные в нормализаторе, привязываются только к нормализатору и недоступны для переиспользования.

В комплект поставки решения входят следующие предустановленные правила обогащения:

[OOTB] Event categorization. Auditd – правило обогащения, позволяющее настроить категоризацию для событий Auditd.
[OOTB] Event categorization. Kaspersky Container Security – правило обогащения, позволяющее настроить категоризацию для событий, поступающих от Kaspersky Container Security.
[OOTB] Event categorization. Kaspersky Industrial CyberSecurity for Networks – правило обогащения, позволяющее настроить категоризацию для событий, поступающих от Kaspersky Industrial CyberSecurity for Networks.
[OOTB] Event categorization. Kaspersky IoT Secure Gateway – правило обогащения, позволяющее настроить категоризацию для событий, поступающих от Kaspersky IoT Secure Gateway.
[OOTB] Event categorization. Kaspersky Secure Mail Gateway – правило обогащения, позволяющее настроить категоризацию для событий, поступающих от Kaspersky Secure Mail Gateway.
[OOTB] Event categorization. Kaspersky Security Center – правило обогащения, позволяющее настроить категоризацию для событий, поступающих от Kaspersky Security Center.
[OOTB] Event categorization. Kaspersky Security for Linux Mail Server – правило обогащения, позволяющее настроить категоризацию для событий, поступающих от Kaspersky Security for Linux Mail Server.
[OOTB] Event categorization. Kaspersky Web Traffic Security – правило обогащения, позволяющее настроить категоризацию для событий, поступающих от Kaspersky Web Traffic Security.
[OOTB] Event categorization. Microsoft Products – правило обогащения, позволяющее настроить категоризацию для событий, поступающих от продуктов компании Microsoft.
[OOTB] KATA alert – правило для обогащения событий, поступивших от Kaspersky Anti Targeted Attack Platform в виде гиперссылки на алерт. Гиперссылка указывается в поле DeviceExternalId.
Для того чтобы параметр DeviceExternalID отображался в виде ссылки в свойствах событий, в свойствах правила в поле Шаблон для параметра DeviceAddress должны быть указаны URL или полное доменное имя, после которых присутствует символ /, например https://example.com:8443/ или https://example.com/.