Использование фильтров в правилах корреляции

С увеличением количества правил корреляции повышается сложность их поддержки. Вам может понадобиться внести изменения в параметры фильтров сразу нескольких правил корреляции. Например, вы можете добавить исключения для повышения точности детектирования или изменить условия фильтров при изменении параметров нормализации или при расширении покрытия правила.

Если вы вносите изменения в параметры фильтра каждого правила корреляции в отдельности и не сохраняете при этом фильтр в виде именованного ресурса, то со временем повышается риск допустить ошибку в фильтре. В результате в похожих правилах корреляции могут быть указаны разные параметры фильтров, так как одно из правил было обновлено, а другое нет. Такой подход также усложняет чтение условий фильтров, поскольку одно и то же условие в разных правилах может быть задано по-разному или несколько условий могут быть заданы в разном порядке.

Для решения этой проблемы рекомендуется использовать фильтры в виде именованных ресурсов, которые вы можете переиспользовать в разных правилах корреляции. В таком случае для применения новых параметров фильтров вам нужно внести изменения только в сам фильтр, и новые параметры будут применены автоматически ко всем правилам корреляции, в которых указан этот фильтр.

Как сохранить фильтр в виде ресурса

Чтобы создать фильтр в виде именованного ресурса,

выполните одно из следующих действий:

• Создайте фильтр в разделе Ресурсы.
• В окне создания или изменения ресурса при настройке фильтра установите флажок Сохранить фильтр, затем укажите название для нового фильтра. Например, при создании или изменении правила корреляции фильтр настраивается на вкладке Селекторы.

Фильтр будет создан и добавлен в список фильтров.

Примеры

Примеры использования фильтров в правилах корреляции:

• Есть правила корреляции, в условиях срабатывания которых указан один и тот же тип событий, например DeviceEventClassID='4688' (запуск процесса).

  Вы можете создать фильтр, указать в нем это условие и сохранить под соответствующим именем, например 4688: A new process has been created. Затем этот фильтр можно использовать во всех правилах, срабатывание которых основано на этом типе событий.

• Вам нужно исключить из корреляционной логики легитимные события, например действия администраторов. При этом у всех администраторов имена учетных записей начинаются с adm_.

  Вы можете создать фильтр, указать в нем такое условие и сохранить под соответствующим именем, например Exclusions: adm_. Каждое из условий исключений вы можете сохранить в отдельный фильтр с префиксом Exclusions: в имени. В результате вы получите набор фильтров для исключений. Такой подход облегчает поддержку правил и анализ исключений.

Примеры часто используемых фильтров:

• Фильтры для типов источников событий (например, Windows, Linux).
• Фильтры для применения правил только на определенных хостах (например, хост контроллера домена) или учетных записях (например, сервисные учетные записи или пользователи определенного отдела).
• Фильтры для часто используемых исключений.
• Фильтры для определенных типов событий KUMA (например, базовых или корреляционных).
• Фильтры для конкретных событий (например, типов интерактивной аутентификации Windows).