Расследование. Сработавшие правила с одним и тем же именем устройства
Предопределенный плейбук "Расследование. Сработавшие правила с одним и тем же именем устройства" позволяет вам идентифицировать другие правила корреляции для того же устройства в пределах указанного временного интервала для текущего алерта. Плейбук запрашивает у KUMA правила, в которых одно и то же значение отображается в поле DeviceHostName, и добавляет комментарий к алерту, помогая оценить, вовлечено ли устройство в более широкую вредоносную деятельность.
Перед использованием плейбука вам нужно скачать скрипты и список зависимостей, которые требуются для правильной работы плейбука.
Нажмите здесь, чтобы узнать, как скачать и подготовить скрипты
Как создать плейбук, см. в статье Создание плейбуков.
Нажмите здесь, чтобы просмотреть полное выражение, которое содержит триггер плейбука.
Функции, используемые плейбуком: executeCustomScript, addCommentToAlert.
Во время выполнения этот плейбук запускает следующие действия по реагированию:
- Выполняет запрос к KUMA для поиска сработавших правил корреляции, в которых то же имя устройства (
DeviceHostName), что и в алерте, отображается в настроенном временном интервале около метки времени алерта. Временной интервал определяется во входных параметрах плейбука параметромtimewindow. - Добавляет комментарий к алерту с краткой информацией о найденных событиях. В комментарии указано, что одно и то же устройство было обнаружено в других сработавших правилах корреляции до и после метки времени алерта в течение указанного временного интервала. Эти правила перечислены по имени.
Нажмите здесь, чтобы увидеть последовательность действий по реагированию, которые содержит плейбук.
