Управление правилами агрегации

В этом разделе содержится общая информация о правилах агрегации и приведены инструкции о том, как создавать, изменять, дублировать, копировать для другого тенанта и удалять правила агрегации.

Чтобы управлять правилами агрегации, вам нужно иметь одну из следующих XDR-ролей: Главный администратор, Администратор тенанта, Администратор SOC.

Правила агрегации позволяют вам объединять повторяющиеся события других решений "Лаборатории Касперского" в алерты Open Single Management Platform. Алерты либо связаны с существующими инцидентами, либо формируют новые инциденты.

Вы можете создавать и управлять правилами агрегации в свойствах тенанта в разделе Правила агрегации. Правила агрегации отображаются в виде списка. Чем выше находится правило в списке правил агрегации, тем выше его приоритет. Если вы хотите изменить приоритет правила агрегации, вам нужно перетащить правило, нажав на значок ().

Также список содержит предустановленное правило агрегации, созданное экспертами "Лаборатории Касперского". Это правило объединяет события, для которых было активировано одно и то же правило корреляции в течение стандартного интервала агрегации (30 секунд).

Вы не можете удалить предустановленное правило агрегации, но вы можете его изменить. По умолчанию правило включено и всегда отображается в таблице правил агрегации со значением Kaspersky Lab в столбце Создал.

Правила агрегации обрабатываются последовательно в соответствии с указанным приоритетом. При выполнении условия, заданного в разделе Триггер, правило агрегации срабатывает и поиск других подходящих правил агрегации продолжается. Поиск останавливается только после обработки всех правил в списке.

Ограничения, связанные с технологиями обнаружения

В зависимости от технологии обнаружения существуют некоторые ограничения на агрегацию алертов:

• Обнаружение YARA, Sandbox и вредоносного ПО в файле:
  • Вы можете агрегировать обнаружения найденных с помощью этих технологий в одном файле.
  • Вы не можете добавлять обнаружение IOA или результаты IOC-проверки или сканирования YARA.
• Обнаружение IOA:
  • Вы можете объединить в один алерт обнаружения, найденные одним или разными IOA-правилами.
  • Вы не можете добавлять обнаружения, найденные с помощью других технологий.
• IOC-проверки:
  • Вы можете агрегировать результаты IOC-проверки (например, обнаружения по одному и тому же IOC-правилу, по разным IOC-правилам, на одном и том же или на разных устройствах).
  • Вы не можете добавлять обнаружения, найденные с помощью других технологий.
• Сканирования YARA:
  • Вы можете агрегировать результаты сканирования YARA (например, обнаружения по одному и тому же YARA-правилу, по разным YARA -правилам, на одном и том же или на разных устройствах).
  • Вы не можете добавлять обнаружения, найденные с помощью других технологий.