Создание монитора

Процессор событий формирует паттерны только по определенным направлениям, которые необходимо предварительно задать в конфигурации внимания. Перед работой с мониторами также необходимо настроить отображение параметров событий.

Функциональность доступна после добавления лицензионного ключа для коммерческой лицензии с процессором событий.
Предварительно требуется настроить службу Event Processor.

Чтобы создать монитор:

1. В основном меню выберите раздел Процессор событий → Мониторинг.
2. Нажмите на кнопку Создать монитор.

   Справа отобразится панель Создание монитора.

3. В поле Имя укажите имя монитора.
4. Если требуется выключить монитор, установите переключатель Состояние в положение Не активен.

   По умолчанию монитор включен.

5. Если требуется выключить отправку оповещений об активациях монитора во внешнюю систему через коннектор CEF Connector, установите переключатель Отправка оповещений в положение Выключена.

   По умолчанию отправка оповещений об активациях монитора включена.

6. В поле Скользящее окно (сек.) укажите интервал в секундах от текущего момента времени назад по временной последовательности, за который монитор будет обрабатывать поступившие значения параметров, события или паттерны.
7. В поле Размер списка активаций укажите количество активаций монитора, которое требуется отображать при просмотре информации о мониторе.
8. В блоке параметров Тип подписки выберите один из следующих вариантов:
   • Если требуется отслеживать появление определенных событий, выберите События.
   • Если требуется отслеживать появление определенных значений параметров событий, выберите Значения параметров.
   • Если требуется отслеживать признаки эксфильтрации данных в DNS-запросах, выберите Эксфильтрация данных по DNS.
     

     Несанкционированное копирование, передача или получение данных с компьютера или сервера.

     Для работы этого монитора требуется предварительно файл с весами ML-модели, которую процессор событий использует для выявления признаков эксфильтрации данных в DNS-запросах, при настройке службы Event Processor.

   • Если требуется отслеживать поступление событий в необычное для них время, выберите Часы активности.
   • Если требуется отслеживать появление закономерностей в поведении объекта мониторинга, выберите Паттерны.
   • Если требуется отслеживать появление событий в фокусе внимания, выберите События головы внимания.
   • Если требуется отслеживать уникальные обобщенные события или паттерны, выберите Уникальные обобщенные.
   • Если требуется отслеживать похожие обобщенные события или паттерны, выберите Похожие обобщенные.
9. В блоке параметров Параметры активации выполните следующие действия:
   1. В поле Порог активации укажите количество активаций монитора на скользящем окне, после достижения которого монитор отправит оповещение во внешнюю систему.

      Параметр отображается, если в блоке параметров Тип подписки был выбран вариант Эксфильтрация данных по DNS, Значения параметров, События, Паттерны или События головы внимания.

   2. Если требуется отслеживать новые события, паттерны или значения параметров событий, установите переключатель Тип активации в положение Отслеживать только новые элементы.

      Параметр отображается, если в блоке параметров Тип подписки был выбран вариант Эксфильтрация данных по DNS, Значения параметров, События, Паттерны или События головы внимания.

   3. В раскрывающемся списке Подписка на слои паттернов выберите слои, на которых требуется отслеживать паттерны.

      Если слои не выбраны, процессор событий отслеживает паттерны на всех уровнях вложенности.

      Параметр отображается, если в блоке параметров Тип подписки был выбран вариант Паттерны.

   4. В раскрывающемся списке Голова внимания выберите голову внимания для фокусировки внимания монитора на нужные направления развития поведения объекта мониторинга.

      Параметр отображается, если в блоке параметров Тип подписки был выбран вариант Часы активности, Паттерны, События головы внимания, Уникальные обобщенные или Похожие обобщенные.

   5. В поле Подписка на события или паттерны выберите один из следующих вариантов:
      • Если требуется отслеживать обобщенные события, выберите Подписка на события.
      • Если требуется отслеживать обобщенные паттерны, выберите Подписка на паттерны.

      Параметр отображается, если в блоке параметров Тип подписки был выбран вариант Уникальные обобщенные или Похожие обобщенные.

10. В блоке параметров Фильтры выполните следующие действия для уточнения условий активации монитора:
    1. Если требуется задать условия для типов подписки Паттерны и События головы внимания, нажмите на кнопку Добавить фильтр.

       Для типов подписки События и Значения параметров необходимо задать хотя бы одно условие активации монитора, поэтому при выборе одного из этих типов подписки в блоке Фильтры уже отображается строка с одним условием.

    2. Выполните одно из следующих действий:
       • Если требуется отслеживать события по всем заданным значениям в рамках одного монитора, установите переключатель в положение Отслеживать по всем значениям одновременно.
       • Если требуется создать дочерние мониторы на каждое заданное значение параметра события, выбранного в раскрывающемся списке Параметр события, и отслеживать их появление отдельно, установите переключатель в положение Отслеживать по каждому значению.

       Переключатель отображается, если в блоке параметров Тип подписки был выбран вариант События.

    3. В раскрывающемся списке Параметр события выберите параметр события, по которому требуется уточнить условия активации монитора.
    4. В раскрывающемся списке Тип фильтра выберите одно из следующих значений:
       • Внимание, если требуется сфокусировать внимание процессора событий на выбранном параметре события.

         Это значение доступно для выбора, если для монитора выбрана голова внимания.

       • Обобщенное внимание, если на выбранном параметре требуется сфокусировать обобщенное внимание процессора событий.

         Это значение доступно для выбора, если для монитора выбрана голова внимания с обобщенным вниманием.

       • Параметр, если требуется активировать монитор при отслеживании конкретных значений параметра события.
       • Обобщенный параметр, если требуется активировать монитор при отслеживании обобщенных значений параметра события.

         Это значение доступно для выбора, если для монитора выбрана голова внимания с обобщением параметров условий.

       При уточнении условий активации монитора по параметрам события, заданных для выбранной головы внимания в качестве предмета внимания или условий к нему, этим параметрам события автоматически присваивается типы фильтров, заданные в выбранной голове внимания. Фильтрация значений параметров события будет выполняться относительно значений, отслеживаемых головой внимания.

    5. Выполните одно из следующих действий:
       • Если требуется включить во внимание все значения параметра события или обобщить их во внимании, в раскрывающемся списке Тип значения выберите Все значения.
       • Если требуется включить во внимание конкретное значение параметра события или обобщить это значение во внимании, в раскрывающемся списке Тип значения выберите Определенные значения и введите нужное значение в поле Значение. Начните вводить нужное значение, чтобы все подходящие значения параметров отобразились в списке.
       • Если требуется включить во внимание значения параметра события по шаблону или обобщить их во внимании, в раскрывающемся списке Тип значения выберите Регулярное выражение и введите шаблон значения с помощью регулярного выражения в поле Значение.

         В регулярных выражениях используется формат, поддерживаемый на языке программирования Python. Подробнее о популярных специальных символах регулярных выражений см. в Приложении.

       • Если требуется включить во внимание новые значения параметра события или обобщить их во внимании, в раскрывающемся списке Тип значения выберите Новые значения.

         Этот тип значения доступен, если переключатель Тип активации установлен в положении Отслеживать только новые элементы.

       Если требуется, вы можете задать более одного условия активации монитора. При необходимости вы можете удалить ранее добавленное условие нажатием на кнопку  напротив строки с нужным условием.

       Если в блоке параметров Тип подписки был выбран вариант Эксфильтрация данных по DNS, то в блоке Фильтры необходимо задать условия активации монитора как минимум по двум параметрам. Для первого условия фильтрации необходимо выбрать параметр события, по которому идентифицируется хост, отправивший DNS-запрос. Для второго условия фильтрации необходимо выбрать параметр события, соответствующий DNS-запросу.

11. Нажмите на кнопку Сохранить.

Новый монитор будет создан и отобразится на вкладке Мониторинг.