Поиск событий с использованием данных об аккаунтах и активах

При анализе событий можно использовать не только поля события, но и сведения о связанных с ним аккаунтах и активах.

Функции lookup_accounts, lookup_assets и enrich_accounts позволяют фильтровать события по атрибутам аккаунтов и активов и получать дополнительные сведения об этих объектах. Такой подход позволяет учитывать контекст события: подразделение и должность пользователя, руководителя, подразделение, к которому относится актив, и другие атрибуты.

В примере ниже выполняется поиск неуспешных попыток входа. События отбираются по значениям атрибутов исходного актива и целевого аккаунта, а в результат добавляется значение атрибута Manager целевого аккаунта.

Значения Accounting, IT и sysadmin в запросе приведены в качестве примера. Замените их значениями, соответствующими атрибутам аккаунтов и активов в вашей инфраструктуре.

Перед использованием запроса убедитесь, что в Kaspersky SIEM настроено обогащение событий данными аккаунтов и активов и заполнены используемые в запросе атрибуты.

Сценарий состоит из следующих этапов:

Создание SQL-запроса

Чтобы создать SQL-запрос:

1. В веб-интерфейсе KUMA перейдите в раздел События.
2. С помощью конструктора запросов или вручную в поле ввода укажите следующий запрос:

   SELECT

   enrich_accounts(DestinationAccountID, manager) AS manager

   FROM events

   WHERE DeviceEventClassID = 4625

   AND lookup_assets(SourceAssetID, Department, '=', 'Accounting')

   AND lookup_accounts(DestinationAccountID, Division, '=', 'IT')

   AND lookup_accounts(DestinationAccountID, Title, '=', 'sysadmin')

3. При необходимости замените значения Accounting, IT и sysadmin на значения, используемые в свойствах активов и аккаунтов в вашей инфраструктуре.
4. В верхней части окна откройте раскрывающийся список временного периода и укажите нужный диапазон времени для поиска событий.
5. Нажмите на кнопку Выполнить запрос.

Анализ результатов запроса

В результате выполнения запроса отображается список значений поля manager.

Убедитесь, что запрос выполняет следующие действия:

• Отбирает события с DeviceEventClassID = 4625.
• С помощью функции lookup_assets отфильтровывает события по значению атрибута Department исходного актива.
• С помощью функции lookup_accounts отфильтровывает события по значениям атрибутов Division и Title целевого аккаунта.
• С помощью функции enrich_accounts получает значение атрибута Manager целевого аккаунта.

Условия поиска можно задавать не только по полям события, но и по атрибутам связанных с ним аккаунтов и активов.

Настройка условий поиска (необязательный этап)

При необходимости измените условия запроса.

Параметры условий запроса

Вы можете изменить условия lookup_assets и lookup_accounts в соответствии с задачей анализа. Можно использовать другие атрибуты аккаунтов и активов или изменить значения, по которым выполняется фильтрация.

Проверка результата

После выполнения запроса убедитесь, что:

• В результатах отображаются только события, соответствующие заданным условиям.
• События отфильтрованы по атрибутам связанных активов и аккаунтов.
• Поле manager содержит значение атрибута Manager соответствующего аккаунта.

Если тестовое событие соответствует всем условиям запроса, значение Manager целевого аккаунта должно отображаться в результате запроса.