Настройка обогащения событий и ретроспективного сканирования
Эта функциональность доступна только в коммерческой версии LogAnalyzer.
Интеграция LogAnalyzer с Kaspersky CyberTrace (далее CyberTrace) версии 5.0 и выше позволяет обогащать события информацией об индикаторах компрометации (IoC) и выполнять ретроспективное сканирование (ретроспективную проверку) событий. Ретроспективное сканирование помогает выявить индикаторы, которые не были обнаружены в момент первичного обогащения, но появились позднее в обновленных потоках данных CyberTrace. Ретроспективное сканирование может использоваться, если вы хотите перепроверить сохраненные события на наличие новых угроз.
Чтобы настроить обогащение данных и ретроспективное сканирование:
- Выполните первоначальную настройку в LogAnalyzer, выполнив следующие шаги:
- Настройте интеграцию с CyberTrace.
- Создайте два коллектора для получения событий, которые вы хотите обогатить данными из CyberTrace:
- Для приема оповещений о срабатывании индикаторов от CyberTrace создайте коллектор, в котором в качестве транспорта используется коннектор с типом tcp, а в качестве нормализатора используется [OOTB] CyberTrace.
- Для настройки обогащения событий создайте коллектор со следующими параметрами:
- В качестве транспорта выберите любой коннектор (например, http).
- В качестве метода нормализации выберите любой метод (например, json) с сопоставлением следующих полей:
SourceHostName,DestinationHostName,Message,DeviceHostName,DeviceAddress,FileHash,OldFileHash,RequestUrl. - В качестве обогащения создайте правило обогащения событий, в котором тип источника данных – cybertrace-http, указана версия CyberTrace ≥ 5.0, и в раскрывающемся списке Ключевые поля выбраны следующие поля нормализатора:
SourceHostName,DestinationHostName,Message,DeviceHostName,DeviceAddress,FileHash,OldFileHash,RequestUrl.
- Выполните настройку ретроспективного сканирования в веб-интерфейсе CyberTrace, выполнив следующие шаги:
- В разделе Настройка → Общие включите API lookup, чтобы сохранять обнаруженные индикаторы и собирать по ним статистику при использовании запроса к публичному API.
- В разделе Настройка → Ретроскан включите ретроспективное сканирование, а затем откройте вкладку Регулярные выражения и включите те источники и их регулярные выражения, которые требуется использовать для ретроспективной проверки.
- В разделе Настройка → Общие в блоке параметров Оповещения об обнаружении индикаторов компрометации укажите IP-адрес и порт, которые будут использоваться в CyberTrace для отправки оповещений об обнаружении индикаторов компрометации.
- В разделе Настройка → Общие в блоке параметров Служебные оповещения настройте отправку служебных оповещений CyberTrace (например, об окончании выполнения задачи ретроспективного сканирования или замене лицензионного ключа), указав IP-адрес коллектора и порт TCP-коннектора LogAnalyzer.
Подробнее о настройке ретроспективного сканирования см. справку Kaspersky CyberTrace.
Этапы обработки событий в процессе ретроспективного сканирования
