Коррелятор
Коррелятор – это компонент приложения, который анализирует нормализованные события. В процессе корреляции может использоваться информация из активных листов и/или словарей.
Полученные в ходе анализа данные применяются для выполнения следующих задач:
- управление содержимым активных листов;
- отправка корреляционных событий в настроенные точки назначения.
Корреляция событий выполняется в реальном времени.
Принцип работы коррелятора основан на сигнатурном анализе событий. Это значит, что каждое событие обрабатывается в соответствии с правилами корреляции, заданными пользователем. При обнаружении последовательности событий, удовлетворяющих условиям правила корреляции, приложение создает корреляционное событие и отправляет его в Хранилище. Корреляционное событие можно также отправлять на повторный анализ в коррелятор, позволяя таким образом настраивать правила корреляции на срабатывание от предыдущих результатов анализа. Результаты одного правила корреляции могут использоваться другими правилами корреляции.
Вы можете распределять правила корреляции и используемые ими активные листы между корреляторами, разделяя таким образом нагрузку между сервисами. В этом случае коллекторы будут отправлять нормализованные события во все доступные корреляторы.
Алгоритм работы коррелятора состоит из следующих этапов:
- Получение события
Коррелятор получает нормализованное событие из коллектора или другого сервиса.
- Применение правил корреляции
Правила корреляции можно настроить на срабатывание на основе одного события или последовательности событий. Если по правилам корреляции не был выявлен алерт, обработка события завершается.
- Реагирование на алерт
Вы можете задать действия, которые приложение будет выполнять при обнаружении алерта. В приложении доступны следующие действия:
- обогащение события;
- операции с активными листами;
- отправка уведомлений;
- сохранение корреляционного события.
- Отправка корреляционного события
При обнаружении последовательности событий, удовлетворяющих условиям правила корреляции, приложение создает корреляционное событие и отправляет его в хранилище. На этом обработка события коррелятором завершается.
