Правила обогащения
Обогащение событий – это дополнение событий информацией, которая может быть использована для выявления инцидента и при проведении расследования.
Правила обогащения позволяют добавлять в поля события дополнительную информацию путем преобразования данных, уже размещенных в полях, или с помощью запроса данных из внешних систем. Например, в событии есть имя учетной записи пользователя. С помощью правила обогащения вы можете добавить сведения об отделе, должности и руководителе этого пользователя в поля события.
Правила обогащения можно использовать в следующих сервисах и функциях LogAnalyzer:
- Коллектор. В коллекторе можно создать правило обогащения и оно станет ресурсом, доступным для переиспользования в других сервисах. Также можно привязать правило обогащения, созданное как отдельный ресурс.
- Нормализатор. В нормализаторе можно только создать правило обогащения, которое будет привязано только к нормализатору и не будет доступно как отдельный ресурс для использования в других сервисах.
Доступные параметры правил обогащения перечислены в таблице ниже.
Вкладка Основные параметры
Параметр | Описание | ||||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
Название | Обязательный параметр. Уникальное имя ресурса. Должно содержать от 1 до 128 символов в кодировке Unicode. | ||||||||||||||||||||||||||||||||||
Тенант | Обязательный параметр. Название тенанта, которому принадлежит ресурс. | ||||||||||||||||||||||||||||||||||
Тип источника данных | Обязательный параметр. Раскрывающийся список для выбора типа входящих событий. В зависимости от выбранного типа отображаются дополнительные параметры:
| ||||||||||||||||||||||||||||||||||
Отладка | Переключатель, с помощью которого можно включить логирование операций сервиса. По умолчанию логирование выключено. | ||||||||||||||||||||||||||||||||||
Описание | Описание ресурса: до 4000 символов в кодировке Unicode. | ||||||||||||||||||||||||||||||||||
Фильтр | Блок параметров, в котором можно задать условия определения событий, которые будут обрабатываться этим ресурсом. В раскрывающемся списке можно выбрать существующий фильтр или Создать новый фильтр. Чтобы создать фильтр:
|
.
.
.Вкладка Сервисы
Эта вкладка отображается только при изменении параметров созданного правила обогащения и используется для привязки правила к коллекторам.
Для привязки правила обогащения к коллектору нажмите на кнопку Привязать к сервису → Привязать к <название сервиса>. В открывшемся окне выберите один или несколько коллекторов и нажмите ОК. Правило обогащения будет привязано к выбранным сервисам и начнет выполняться в соответствии с их конфигурацией.
При необходимости вы можете отвязать правило обогащения от сервиса. Для этого нужно установить флажок рядом с нужным коллектором, нажать Удалить и подтвердить удаление привязки к сервису.
Предустановленные правила обогащения
В поставку LogAnalyzer включено правило обогащения [OOTB] KATA alert. Это правило используется для обогащения событий, поступивших от KATA в виде гиперссылки на алерт. Гиперссылка размещается в поле DeviceExternalId.
Для того чтобы параметр DeviceExternalID отображался в виде ссылки в свойствах событий, убедитесь, что в поле Шаблон для параметра DeviceAddress указаны URL или полное доменное имя, после которых присутствует символ "/", например: https://example.com:8443/ или https://example.com/.
