Генерация регулярных выражений с помощью KIRA

Вы можете автоматически создать одно или несколько регулярных выражений на основе примеров событий для нормализатора с методом парсинга regexp с помощью Kaspersky Investigation and Response Assistant. Эта функция доступна пользователям с ролями Главный администратор, Администратор тенанта, Аналитик второго уровня, Аналитик первого уровня, Младший аналитик.

Чтобы сгенерировать регулярные выражения:

1. Получите лицензию с AI-модулем и активируйте функциональность в KUMA.
2. Настройте интеграцию с KIRA одним из следующих способов:
   • с использованием Kaspersky Security Network (режим KSN);
   • с использованием стороннего LLM-провайдера (режим Custom).
3. Запустите создание нормализатора или откройте параметры существующего нормализатора.
4. На вкладке Схема нормализации в раскрывающемся списке Метод парсинга выберите regexp.
5. В поле Примеры событий добавьте один или несколько примеров событий, на основе которых требуется создать регулярное выражение.

   Вы можете добавить не более 10 однострочных событий.

6. Нажмите на кнопку Сгенерировать регулярное выражение с помощью KIRA.
7. Подтвердите отправку запроса.

   После обработки запроса откроется окно, в котором отображаются:

   • количество оставшихся токенов (если у вас настроена интеграция с KIRA с использованием KSN);
   • количество токенов, использованных при генерации;
   • сгенерированные регулярные выражения с цветовой подсветкой групп и соответствующих фрагментов примеров событий.

   Каждое сгенерированное регулярное выражение содержит в начале группу символов (?:ai)?.

   В окне с созданными выражениями вы можете отредактировать и скопировать регулярное выражение, а также применить результат генерации, нажав на кнопку Применить.

   Если генерация регулярного выражения завершается ошибкой или не дает ожидаемого результата, это может означать, что используемая модель провайдера не смогла правильно определить компоненты события или сформировать регулярное выражение. В этом случае добавьте в поле Примеры событий несколько других похожих примеров и запустите генерацию повторно.

   После применения результата сгенерированное регулярное выражение автоматически добавляется в поле Нормализация. Если было сгенерировано несколько регулярных выражений, автоматически создается соответствующее количество полей для каждого выражения. Регулярные выражения добавляются в порядке их генерации, который при необходимости можно изменить, перетаскивая выражения с помощью значка .

8. После применения результата генерации регулярных выражений сохраните параметры нормализатора, нажав на кнопку ОК и затем на кнопку Сохранить.