Справочная таблица для создания правил корреляции KUMA

ORC: Audit started

simple

Message

Низкий

Message contain SYS-AUD Started:

В дальнейшую обработку

Audit

ORC: Audit stopped

simple

Message

Средний

Message contain SYS-AUD Stopped:

В дальнейшую обработку

Audit

ORC: CPE Change

simple

Message

Низкий

Message contain SDW-CPE Any:

В дальнейшую обработку

Audit

ORC: CPE Change Error

simple

Message

Средний

Message contain SDW-CPE AnyError:

В дальнейшую обработку

Audit

ORC: CPE Create

simple

Message

Низкий

Message contain SDW-CPE Create:

В дальнейшую обработку

Audit

ORC: CPE Create Error

simple

Message

Средний

Message contain SDW-CPE CreateError:

В дальнейшую обработку

Audit

ORC: CPE Registration

simple

Message

Низкий

Message contain SDW-CPE Registration:

В дальнейшую обработку

Audit

ORC: CPE Registration Error

simple

Message

Средний

Message contain SDW-CPE RegistrationError:

В дальнейшую обработку

Audit

ORC: CPE Delete

simple

Message

Низкий

Message contain SDW-CPE Delete:

В дальнейшую обработку

Audit

ORC: CPE Delete Error

simple

Message

Средний

Message contain SDW-CPE DeleteError:

В дальнейшую обработку

Audit

ORC: CPE Disable

simple

Message

Низкий

Message contain SDW-CPE Disable:

В дальнейшую обработку

Audit

ORC: CPE Disable Error

simple

Message

Средний

Message contain SDW-CPE DisableError:

В дальнейшую обработку

Audit

ORC: CPE Enable

simple

Message

Низкий

Message contain SDW-CPE Enable:

В дальнейшую обработку

Audit

ORC: CPE Enable Error

simple

Message

Средний

Message contain SDW-CPE EnableError:

В дальнейшую обработку

Audit

ORC: CPE Firewall Template

simple

Message

Низкий

Message contain SDW-CPE-GEN FirewallTemplate:

В дальнейшую обработку

Audit

ORC: CPE Firewall Template Error

simple

Message

Средний

Message contain SDW-CPE-GEN FirewallTemplateError:

В дальнейшую обработку

Audit

ORC: CPE Encryption

simple

Message

Низкий

Message contain SDW-CPE-ENC Encryption:

В дальнейшую обработку

Audit

ORC: CPE Encryption Error

simple

Message

Средний

Message contain SDW-CPE-ENC EncryptionError:

В дальнейшую обработку

Audit

ORC: CPE Scripts

simple

Message

Низкий

Message contain SDW-CPE-SCR Scripts:

В дальнейшую обработку

Audit

ORC: CPE Scripts Error

simple

Message

Средний

Message contain SDW-CPE-SCR ScriptsError:

В дальнейшую обработку

Audit

ORC: CPE Interface

simple

Message

Низкий

Message contain SDW-CPE-NET Interface:

В дальнейшую обработку

Audit

ORC: CPE Interface Error

simple

Message

Средний

Message contain SDW-CPE-NET InterfaceError:

В дальнейшую обработку

Audit

ORC: CPE Firewall

simple

Message

Низкий

Message contain SDW-CPE-FW Firewall:

В дальнейшую обработку

Audit

ORC: CPE Firewall Error

simple

Message

Средний

Message contain SDW-CPE-FW FirewallError:

В дальнейшую обработку

Audit

ORC: CPE Static Route

simple

Message

Низкий

Message contain SDW-CPE-STR StaticRoute:

В дальнейшую обработку

Audit

ORC: CPE Static Route Error

simple

Message

Средний

Message contain SDW-CPE-STR StaticRouteError:

В дальнейшую обработку

Audit

ORC: CPE Template Change

simple

Message

Низкий

Message contain SDW-CPET Any:

В дальнейшую обработку

Audit

ORC: CPE Template Change Error

simple

Message

Средний

Message contain SDW-CPET AnyError:

В дальнейшую обработку

Audit

ORC: CPE Template Encryption

simple

Message

Низкий

Message contain SDW-CPET-ENC Encryption:

В дальнейшую обработку

Audit

ORC: CPE Template Encryption Error

simple

Message

Средний

Message contain SDW-CPET-ENC EncryptionError:

В дальнейшую обработку

Audit

ORC: CPE Template Scripts

simple

Message

Низкий

Message contain SDW-CPET-SCR Scripts:

В дальнейшую обработку

Audit

ORC: CPE Template Scripts Error

simple

Message

Средний

Message contain SDW-CPET-SCR ScriptsError:

В дальнейшую обработку

Audit

ORC: CPE Template Interface

simple

Message

Низкий

Message contain SDW-CPET-NET Interface:

В дальнейшую обработку

Audit

ORC: CPE Template Interface Error

simple

Message

Средний

Message contain SDW-CPET-NET InterfaceError:

В дальнейшую обработку

Audit

ORC: CPE Template Static Route

simple

Message

Низкий

Message contain SDW-CPET-STR StaticRoute:

В дальнейшую обработку

Audit

ORC: CPE Template Static Route Error

simple

Message

Средний

Message contain SDW-CPET-STR StaticRouteError:

В дальнейшую обработку

Audit

ORC: Firewall Template

simple

Message

Низкий

Message contain SDW-FWT Firewall:

В дальнейшую обработку

Audit

ORC: Firewall Template Error

simple

Message

Средний

Message contain SDW-FWT FirewallError:

В дальнейшую обработку

Audit

ORC: Zone Template

simple

Message

Низкий

Message contain SDW-FWZ Zone:

В дальнейшую обработку

Audit

ORC: Zone Template Error

simple

Message

Средний

Message contain SDW-FWZ ZoneError:

В дальнейшую обработку

Audit

ORC: Firmware

simple

Message

Низкий

Message contain SDW-FMW Firmware:

В дальнейшую обработку

Audit

ORC: Firmware Error

simple

Message

Средний

Message contain SDW-FMW FirmwareError:

В дальнейшую обработку

Audit

ORC: Firmware Update

simple

Message

Низкий

Message contain SCH-FMWU FirmwareUpdate:

В дальнейшую обработку

Audit

ORC: Firmware Update Error

simple

Message

Средний

Message contain SCH-FMWU FirmwareUpdateError:

В дальнейшую обработку

Audit

ORC: Scheduled Update Settings

simple

Message

Низкий

Message contain SCH-UPDS UpdateSettings:

В дальнейшую обработку

Audit

ORC: Scheduled Update Settings Error

simple

Message

Средний

Message contain SCH-UPDS UpdateSettingsError:

В дальнейшую обработку

Audit

ORC: User Authentication

simple

Message

Низкий

Message contain USR-USR Authentication:

 В дальнейшую обработку

 Audit

ORC: User Authentication Error

simple

Message

Средний

Message contain USR-USR AuthenticationError:

В дальнейшую обработку

Audit

ORC: User Change

simple

Message

Низкий

Message contain USR-USR UserChange:

В дальнейшую обработку

Audit

ORC: User Permission

simple

Message

Низкий

Message contain USR-PERM UserPermissions:

В дальнейшую обработку

Audit

ORC: API Call

simple

Message

Низкий

Message contain SYS-API Call:

В дальнейшую обработку

Audit

ORC: API Call Complete

simple

Message

Низкий

Message contain SYS-API СallСomplete:

В дальнейшую обработку

Audit

CPE: Authentication successful

simple

Message

Низкий

DeviceFacility = 10, 
Severity = 5, 
Message contains Password auth succeeded

В дальнейшую обработку

Audit

CPE: Max auth tries reached

simple

Message

Высокий

DeviceFacility = 10, 
Severity = 6, 
Message contains Max auth tries reached

В дальнейшую обработку

Audit

CPE: Bad password attempt

simple

Message

Средний

DeviceFacility = 10 
Severity = 4
Message contains Bad password attempt

В дальнейшую обработку

Audit

CPE: Execute OOB task

simple

Message

Низкий

DeviceFacility = 1, 
Severity = 6, 
Message contains sdwan-oob:

В дальнейшую обработку

Audit

CPE: Firewall stopped

simple

Message

Критический

DeviceFacility = 1, 
Severity = 2, 
Message contains Firewall stopped

В дальнейшую обработку

Audit

CPE: Firewall started

simple

Message

Низкий

DeviceFacility = 1, 
Severity = 6, 
Message contains Firewall started

В дальнейшую обработку

Audit

CPE: Firewall restarted or reloaded

simple

Message

Средний

DeviceFacility = 1, 
Severity = 4,
OR
Message contains Firewall reloaded
Message contains Firewall restarted

В дальнейшую обработку

Audit

CPE: Firewall audit

simple

Message

Низкий

DeviceFacility = 0, 
Severity = 6, 
Message contains FW-AUD

В дальнейшую обработку

Audit

CPE: Integrity check successful

simple

Message

Низкий

DeviceFacility = 1, 
Severity = 6, 
Message contains Integrity check successful

В дальнейшую обработку

Audit

CPE: Integrity check failed

simple

Message

Критический

DeviceFacility = 1, 
Severity = 2,
Message endsWith Integrity check failed

В дальнейшую обработку

Audit

CPE: Verification mismatch

simple

Message

Критический

DeviceFacility = 1, 
Severity = 2, 
Message contains Verification mismatch

В дальнейшую обработку

Audit

CPE: Firewall traffic blocked

simple

Message

Критический

DeviceFacility = 1, 
Severity = 2,Message contains Integrity check failed. Traffic forwarding blocked

В дальнейшую обработку

Audit

CPE: Firewall self-test successful

simple

Message

Низкий

DeviceFacility = 1, 
Severity = 6, 
Message contains Successful firewall self test

В дальнейшую обработку

Audit

CPE: Firewall self-test failed

simple

Message

Критический

DeviceFacility = 1, 
Severity = 2, 
Message contains Firewall self test failed

В дальнейшую обработку

Audit

CPE: USB device inserted

simple

Message

Средний

DeviceFacility = 0, 
Severity = 6,
OR 
Message contains USB deviceMessage contains Storage device detected

В дальнейшую обработку

Audit

CPE: USB device mounted

simple

Message

Высокий

DeviceFacility = 0, 
Severity = 6, 
Message contains mounted filesystem

В дальнейшую обработку

Audit

CPE: Time jump detected

simple

Message

Средний

DeviceFacility = 3, 
Severity = 4, 
Message contains time jump detected

В дальнейшую обработку

Audit