Investigation. KUMA events. Triggered rules with the same hostname
08 ноября 2026
ID 317041
Шаблон плейбука "Investigation. Triggered rules with the same hostname" позволяет вам идентифицировать другие правила корреляции для того же устройства в пределах указанного временного интервала для текущего алерта. Плейбук запрашивает у KUMA правила, в которых одно и то же значение отображается в поле DeviceHostName, и добавляет комментарий к алерту, помогая оценить, вовлечено ли устройство в более широкую вредоносную деятельность.
Перед использованием плейбука вам нужно скачать скрипты и список зависимостей, которые требуются для правильной работы плейбука.
Нажмите здесь, чтобы узнать, как скачать и подготовить скрипты
Как создать плейбук, см. в статье Создание плейбуков.
Триггер плейбука содержит следующее выражение:
ResponseFunction, используемые плейбуком: executeCustomScript, addCommentToAlert.
Во время выполнения этот плейбук запускает следующие действия по реагированию:
- Выполняет запрос к KUMA для поиска сработавших правил корреляции, в которых то же имя устройства (
DeviceHostName), что и в алерте, отображается в настроенном временном интервале около метки времени алерта. Временной интервал определяется во входных параметрах плейбука параметромtimewindow. - Добавляет комментарий к алерту с краткой информацией о найденных событиях. В комментарии указано, что одно и то же устройство было обнаружено в других сработавших правилах корреляции до и после метки времени алерта в течение указанного временного интервала. Эти правила перечислены по имени.
Алгоритм плейбука содержит следующую последовательность действий по реагированию:
