Поддерживаемые типы данных correlator-ng
В текущей версии Kaspersky Symphony XDR представлена бета-версия correlator-ng, которая предназначена для ознакомления. До выхода полнофункциональной версии коррелятора API методы, алгоритмы, синтаксис условий и другие функции и характеристики могут быть изменены.
В корреляторе correlator-ng реализована более строгая модель данных по сравнению со стандартной версией коррелятора. Это влияет на правила корреляции, работу селекторов и функции обработки событий. Каждое поле события, переменной или селектора теперь имеет заранее определенный тип. Автоматическое приведение типов применяется только для совместимых типов, в остальных случаях используется приведение через функции to_string, to_integer, to_float.
Поддерживаются следующие типы данных
Поддерживаемые типы данных
| Тип данных | Описание |
|---|---|
| Строка | Строка |
| VecString | Массив строк |
| I64 | Целое число 64-бит |
| VecI64 | Массив целых чисел 64-бит |
| F64 | Число с плавающей точкой |
| VecF64 | Массив чисел с плавающей точкой |
| Timestamp | Временная метка в формате UNIX Timestamp (в миллисекундах) |
| VecTimestamp | Массив временных меток в формате UNIX Timestamp (в миллисекундах) |
| Uuid | Уникальный идентификатор формата UUIDv4 |
| VecUuid | Массив UUIDv4 |
| Ip | IP-адрес формата IPv4 или IPv6 |
| VecIp | Массив IP-адресов |
| IpNet | Подсеть с указанием префикса CIDR, например, |
| VecIpNet | Массив подсетей |
| Bool | Логическое значение |
| VecBool | Массив логических значений |
Более строгая типизация повышает эффективность работы коррелятора и уменьшает ошибки при компиляции правил корреляции. При этом все операции с массивами, строками и временными метками должны учитывать тип данных, иначе возможны ошибки выполнения.
