Перейти к основному содержимому
Версия: 2.0

KUMA SIEM

Kaspersky Unified Monitoring and Analysis Platform (KUMA) предназначена для централизованного сбора, анализа и корреляции событий информационной безопасности из различных источников данных с целью выявления потенциальных киберинцидентов и их оперативного нейтрализации. Основная задача процесса интеграции фидов Solar TI Feeds в KUMA заключается в организации эффективного сбора и обработки CSV-файлов, генерируемых агентом Solar TI Feeds Agent.

Предварительные требования​

  1. Установленный и настроенный агент Solar TI Feeds Agent на системе-источнике
  2. Доступ к KUMA SIEM с правами администратора
  3. Скачанный пакет экспертизы "KUMA_4rays TI Cloud SIEM Content" для KUMA (скачать)

Импорт контента в KUMA SIEM​

Начало работы​

Важно!

Для начала работ по настройке требуется импортировать в SIEM package контента "KUMA_4rays TI Cloud SIEM Content" в тенант Shared

В набор входят следующие объекты (по умолчанию находятся в директории 4rays TI Cloud):

Нормализаторы:​

  • [4rays] TI Cloud IOC Normalizer

Активные листы:​

  • [4rays] Config_TI IP IOC List
  • [4rays] Config_TI Domain and URL IOC List
  • [4rays] Config_TI Hash IOC List
  • [4rays] Tech_TI IOC Hits Statistics
  • [4rays] Tech_TI IOC Tracking Activity
  • [4rays] Tech_Alert Stop List

Фильтры:​

  • [4rays] External Source IP Address
  • [4rays] External Destination IP Address
  • [4rays] Event from Detection System
  • [4rays] Has a hash-sum

Словари:​

  • [4rays] Config_TI Cloud Parameters
  • [4rays] Exclusion_TI Cloud

Поля расширенной схемы событий:​

  • S.4rays_EventCategory

Правила корреляции, тип operational:​

  • [4rays] Profile_TI IP IOC Add
  • [4rays] Profile_TI IP IOC Delete
  • [4rays] Profile_TI Domain or URL IOC Add
  • [4rays] Profile_TI Domain or URL IOC Delete
  • [4rays] Profile_TI Hash IOC Add
  • [4rays] Profile_TI Hash IOC Delete

Правила корреляции, тип simple:​

  • [4rays] Tech_TI IP IOC Collect Hits Statistics
  • [4rays] Tech_TI Domain or URL IOC Collect Hits Statistics
  • [4rays] Tech_TI Hash IOC Collect Hits Statistics
  • [4rays] Tech_TI IOC Detected
  • [4rays] Alert_TI IOC Detected
  • [4rays] NoAlert_High_TI IOC Detected
  • [4rays] NoAlert_Medium_TI IOC Detected

Правила сегментации:​

  • [4rays] TI IOC Alert Generator

Также необходимо импортировать поле расширенной схемы событий из файла KUMA_4raysT TI Cloud extended-fields.json.

Для этого выполните следующие действия: Параметры → Расширенная схема событий → Импорт.

Описание контента загрузки фидов​

Часть контента SIEM, предназначенная для загрузки и предварительной обработки фидов из CSV-файлов, формируемых агентом, представлена следующими логическими блоками:

Нормализация фидов​

  • [4rays] TI Cloud IOC Normalizer — нормализатор для обработки записей о фидах всех типов. Поступающие из фидов индикаторы проходят дополнительную обработку по полю Value.

Конфигурационные активные листы с данными о фидах​

  • [4rays] Config_TI IP IOC List — конфигурационный активный лист для хранения индикаторов типов IPV4, SOCKETV4, IPV6 и SOCKETV6
  • [4rays] Config_TI Domain and URL IOC List — конфигурационный активный лист для хранения индикаторов типов DOMAIN и URL
  • [4rays] Config_TI Hash IOC List — конфигурационный активный лист для хранения индикаторов типов MD5, SHA1 и SHA256

Конфигурационные активные листы не имеют ограничений по TTL, релевантность и актуальность записей в данном формате интеграции определяется на стороне платформы TI Cloud. Поддержание актуального содержимого на стороне SIEM осуществляется на основе действий по полю Action.

Правила для актуализации конфигурационных активных листов​

Правила для активного листа [4rays] Config_TI IP IOC List:

  • [4rays] Profile_TI IP IOC Add — правило для обработки действий по добавлению (CREATE) и обновлению (UPDATE) записей индикаторов типов IPV4, SOCKETV4, IPV6 и SOCKETV6
  • [4rays] Profile_TI IP IOC Delete — правило для обработки действий по удалению (DELETE) записей индикаторов типов IPV4, SOCKETV4, IPV6 и SOCKETV6

Правила для активного листа [4rays] Config_TI Domain and URL IOC List:

  • [4rays] Profile_TI Domain or URL IOC Add — правило для обработки действий по добавлению (CREATE) и обновлению (UPDATE) записей индикаторов типов DOMAIN и URL
  • [4rays] Profile_TI Domain or URL IOC Delete — правило для обработки действий по удалению (DELETE) записей индикаторов типов DOMAIN и URL

Правила для активного листа [4rays] Config_TI Hash IOC List:

  • [4rays] Profile_TI Hash IOC Add — правило для обработки действий по добавлению (CREATE) и обновлению (UPDATE) записей индикаторов типов MD5, SHA1 и SHA256
  • [4rays] Profile_TI Hash IOC Delete — правило для обработки действий по удалению (DELETE) записей индикаторов типов MD5, SHA1 и SHA256

Настройка контента загрузки фидов​

Для настройки контента по загрузке фидов в списки SIEM необходимо выполнить следующие шаги:

Настройка процесса актуализации конфигурационных списков​

  1. Привяжите к коррелятору, через который планируется обработка фидов, набор операционных корреляционных правил для актуализации конфигурационных активных листов:

    • [4rays] Profile_TI IP IOC Add
    • [4rays] Profile_TI IP IOC Delete
    • [4rays] Profile_TI Domain or URL IOC Add
    • [4rays] Profile_TI Domain or URL IOC Delete
    • [4rays] Profile_TI Hash IOC Add
    • [4rays] Profile_TI Hash IOC Delete

  2. Обновите конфигурацию коррелятора для активации указанных корреляционных правил и связанных с ними активных листов.

Настройка сбора и обработки фидов​

Для настройки коллектора и нормализатора для сбора и обработки событий о поступлении новых индикаторов в фидах требуется выполнить следующие действия:

  1. В необходимом тенанте создайте и настройте коллектор [4rays] TI Cloud IOC Collector, который по мере генерации новых CSV-файлов в отдельной директории на системе, где запущен агент 4rays, будет осуществлять сбор и передачу их содержимого на сторону SIEM. Именование CSV-файлов и директория их размещения определяются настройками блока CSVSink (file.name, file.ext) и параметрами монтирования тома агента (директория /workdir/artifacts).

  2. В параметрах парсинга событий укажите нормализатор [4rays] TI Cloud IOC Normalizer.

  3. В параметрах коллектора укажите коррелятор, через который планируется обработка фидов, в качестве получателя событий. Рекомендуется также указывать в качестве получателя систему хранения событий для дальнейшей проверки их поступления.

Настройка агента Solar TI Feeds​

Агент Solar TI Feeds Agent формирует CSV-файлы с индикаторами на основе данных, получаемых из Solar TI Feeds API. Со стороны агента логика интеграции с KUMA SIEM идентична логике интеграции с MaxPatrol SIEM и использует ту же конфигурацию. Конфигурация состоит из двух pipeline: feeds-api (загрузка данных из API) и siem (выгрузка данных в CSV-файлы).

Полный код конфигурационного файла агента​

📄 Нажмите, чтобы показать/скрыть siem_pipeline.pkl
amends "package://pkg.pkl-lang.org/github.com/pipelane/pipelaner/pipelaner@1.3.1#/Pipelaner.pkl"
import "package://pkg.pkl-lang.org/github.com/pipelane/pipelaner/pipelaner@1.3.1#/source/Components.pkl"
import "../pkl/internal/agent.pkl"
import "../pkl/internal/templates.pkl"

pipelines {
  new Components.Pipeline {
    name = "feeds-api"
    inputs {
      new agent.FeedsAPIGenerator {
        name = "feeds-api-generator"
        server = templates.TICApiCfg
        schedule = (read?("env:TIC_AGENT_API_POOL_INTERVAL") ?? 3600).toInt().s
        filter = new agent.FeedsAPIRequestParams {
          fields = new Listing {
            "all"
          }
          pagination = new agent.Pagination {
            limit = (read?("env:TIC_AGENT_API_BATCH_SIZE") ?? 1000).toInt()
          }
        }
      }
    }
    sinks {
      new agent.FeedsDBSink {
        name = "feeds-db-sink"
        inputs {
          "feeds-api-generator"
        }
      }
    }
  }

  new Components.Pipeline {
    name = "siem"
    inputs {
      new agent.FeedsDBGenerator {
        name = "siem-feeds-db-generator"
        schedule = (read?("env:TIC_AGENT_DB_POOL_INTERVAL") ?? 600).toInt().s
        delay = (read?("env:TIC_AGENT_DB_START_DELAY") ?? 60).toInt().s
        batchSize = (read?("env:TIC_AGENT_DB_BATCH_SIZE") ?? 100).toInt()
        batchDelay = (read?("env:TIC_AGENT_DB_BATCH_DELAY") ?? 100).toInt().ms
      }
      new agent.FeedsDBFailedGenerator {
        name = "siem-feeds-db-failed-generator"
        feedGenName = "siem-feeds-db-generator"
      }
    }
    sinks {
      new agent.CSVSink {
        name = "csv-sink"
        inputs {
          "siem-feeds-db-generator"
          "siem-feeds-db-failed-generator"
        }
        columns {
          "*"
        }
        file {
          mode = "rolling"
        }
        maxLines = 10_000
        idleTO = 30.min
        withHeaders = false
        useJSON = true
      }
    }
  }
}

settings = templates.baseSettings

Структура pipeline​

PipelineНазначение
feeds-apiЗагрузка данных из Solar TI Feeds API и сохранение в локальную SQLite-базу
siemЧтение данных из базы и выгрузка в CSV-файлы для последующего сбора SIEM

Параметры CSVSink​

ПараметрТип данныхЗначение по умолчаниюОписание
columnsListing<String>—Список колонок для выгрузки. В конфигурации указывается "*" (все колонки)
withHeadersBooleantrueВыгружать ли заголовки в CSV. В конфигурации указывается false
useJSONBooleanfalseИспользовать ли JSON-формат записей. В конфигурации указывается true
maxLinesInt0Количество строк в одном файле. Если превышено — создаётся новый файл
idleTODuration0.sВремя без новых данных. Если превышено — создаётся новый файл
fileFileCfg—Настройки файлового вывода (см. ниже)

Параметры FileCfg (настройки файлового вывода)​

ПараметрТип данныхЗначение по умолчаниюОписание
nameString"out"Имя файла
extString"csv"Расширение файла
modeFileMode"append"Режим работы с файлом. В данной конфигурации всегда должно быть "rolling"
maxFilesInt0Ротация: сколько файлов хранить
maxAgeInt0Ротация: как долго хранить файлы
cleanIntervalDuration1.dПериодичность запуска ротации

Переменные окружения​

Для работы интеграции необходимо определить следующие переменные окружения (используются в конфигурационном файле агента):

ПеременнаяНазначениеЗначение по умолчанию
TIC_AGENT_API_POOL_INTERVALИнтервал опроса Solar TI Feeds API (в секундах)3600
TIC_AGENT_API_BATCH_SIZEРазмер пакета при загрузке из API1000
TIC_AGENT_DB_POOL_INTERVALИнтервал чтения из локальной БД (в секундах)600
TIC_AGENT_DB_START_DELAYЗадержка перед первым чтением из БД (в секундах)60
TIC_AGENT_DB_BATCH_SIZEРазмер пакета при чтении из БД100
TIC_AGENT_DB_BATCH_DELAYЗадержка между пакетами при чтении из БД (в миллисекундах)100

Результат работы агента​

При запуске агента в смонтированной директории /workdir/artifacts начнут появляться CSV-файлы с индикаторами. Имя и расширение файлов задаются параметрами file.name и file.ext блока CSVSink, а момент создания нового файла определяется параметрами maxLines и idleTO.

При настройке коллектора [4rays] TI Cloud IOC Collector в KUMA SIEM необходимо указать путь к этой директории — /workdir/artifacts, чтобы SIEM мог обнаруживать и забирать вновь создаваемые CSV-файлы.

Запуск агента Solar TI Feeds​

После выполнения настроек в SIEM, описанных на предыдущих шагах, необходимо запустить агент Solar TI Feeds Agent на системе для генерации CSV-файлов с фидами (подробнее см. Руководство пользователя по работе с агентом).

После запуска агента будет сформирована первичная выгрузка, содержащая актуальную и полную на данный момент базу фидов TI Feeds. В зависимости от объёма базы первичная выгрузка может быть разбита на несколько CSV-файлов (это определяется параметрами maxLines и idleTO блока CSVSink).

Следующие файлы будут содержать записи только о тех индикаторах в фидах, для которых произошли изменения со времени предыдущего обновления.

Проверка работоспособности загрузки фидов в списки​

Фиды поступают в SIEM в виде событий, после нормализации доступны для поиска следующими способами:

Ресурсы → Активные сервисы → Коллекторы → [4rays] TI Cloud IOC Collector → Перейти к событиям

Или выполните поиск по фильтру: События → Поиск по фильтру: DeviceVendor = 'Solar Security' AND DeviceProduct = '4rays TI Cloud'

Рисунок 7 – Поиск фидов по фильтру в KUMA

После проверки наличия нормализованных событий требуется проверить заполнение конфигурационных списков: Ресурсы → Активные сервисы → Корреляторы → [выбрать коррелятор, выбранный для обработки фидов] → Перейти к активным листам → найти листы по маске [4rays] Config_TI *

Описание детектирующего контента​

Технические поля корреляционного события​

ПолеОписание
CorrelationRuleNameИмя корреляционного правила
AttackerHostIDЗначение индикатора
VictimHostIDХост, взаимодействовавший с индикатором
FlexString1Информация о взаимодействии
FlexString2Информация об индикаторе
S.4rays_EventCategoryТэг, указывающий на получение события от СЗИ
PriorityКритичность срабатывания

Контент для детектирования взаимодействий с фидами​

[4rays] Tech_TI IP IOC Collect Hits Statistics​

Порядок срабатывания правила корреляции — 1.

Проверяемые поля базового событияТип паттерна проверкиЛогика правилаНазначение технических полейГенерация корреляционного событияГенерация алерта
SourceAddressIPAddressSourceAddress удовлетворяет фильтру [4rays] External Source IP Address И паттерн присутствует в листе [4rays] Config_TI IP IOC ListMessage = "4rays TI Cloud: IOC hit added to statistics"
Code = [зона сработавшего фида]
S.4rays_EventCategory = "4rays: Events from Attack Detection System" (см. примечание 1)		нетнет
DestinationAddress, DestinationPortIPAddress, portDestinationAddress удовлетворяет фильтру [4rays] External Destination IP Address И один из паттернов присутствует в листе [4rays] Config_TI IP IOC List———

Примечания:

  1. Заполнение поля S.4rays_EventCategory осуществляется согласно фильтру [4rays] Event from Detection System, содержимое которого доступно для изменения с учетом СЗИ инфраструктуры (по умолчанию фильтр заполнен условиями на события наиболее распространённых источников категории СЗИ).
  2. Технические правила Collect Hits Statistics:
    • проводят фильтрацию активности, заданной в словаре исключений [4rays] Exclusion_TI Cloud;
    • заполняют информационный профиль срабатываний [4rays] Tech_TI IOC Hits Statistics (TTL = 30d), анализ которого позволяет увидеть все взаимодействия с фидами за последние 30 суток;
    • заполняют технический лист [4rays] Tech_TI IOC Tracking Activity (TTL = 2d), который используется для генерации статистических корреляций.
  3. Технические правила Collect Hits Statistics сохраняют корреляционное событие только в случае, если сработало правило третьего порядка. Поле Name добавлено в агрегацию для реализации механизма категоризации по полю S.4rays_EventCategory, имя правила корреляции доступно в поле CorrelationRuleName.

[4rays] Tech_TI Domain or URL IOC Collect Hits Statistics​

Порядок срабатывания правила корреляции — 1.

Проверяемые поля базового событияТип паттерна проверкиЛогика правилаНазначение технических полейГенерация корреляционного событияГенерация алерта
DestinationDnsDomainDomainОдин из паттернов присутствует в листе [4rays] Config_TI Domain and URL IOC ListMessage = "4rays TI Cloud: IOC hit added to statistics"
Code = [зона сработавшего фида]
S.4rays_EventCategory = "4rays: Events from Attack Detection System" (см. примечание 1)		нетнет
DestinationHostNameDomainОдин из паттернов присутствует в листе [4rays] Config_TI Domain and URL IOC List———
RequestUrlURLОдин из паттернов присутствует в листе [4rays] Config_TI Domain and URL IOC List———

Примечания: аналогичны примечаниям для правила [4rays] Tech_TI IP IOC Collect Hits Statistics.

[4rays] Tech_TI Hash IOC Collect Hits Statistics​

Порядок срабатывания правила корреляции — 1.

Проверяемые поля базового событияТип паттерна проверкиЛогика правилаНазначение технических полейГенерация корреляционного событияГенерация алерта
FileHashHash (md5, sha-1, sha-256)FileHash удовлетворяет фильтру [4rays] Has a hash-sum И паттерн присутствует в листе [4rays] Config_TI Hash IOC ListMessage = "4rays TI Cloud: IOC hit added to statistics"
Code = [зона сработавшего фида]
S.4rays_EventCategory = "4rays: Events from Attack Detection System" (см. примечание 1)		нетнет
OldFileTypeHash (md5, sha-1, sha-256)OldFileType удовлетворяет фильтру [4rays] Has a hash-sum И паттерн присутствует в листе [4rays] Config_TI Hash IOC List———

Примечания: аналогичны примечаниям для правила [4rays] Tech_TI IP IOC Collect Hits Statistics.

[4rays] Tech_TI IOC Detected​

Порядок срабатывания правила корреляции — 2.

Логика правилаНазначение технических полейГенерация корреляционного событияГенерация алерта
Message = "4rays TI Cloud: IOC hit added to statistics" И S.4rays_EventCategory = "4rays: Events from Attack Detection System"Message = "4rays TI Cloud: IOC detected" Code = High, если Code = MALICIOUS, иначе — Code = Mediumнетнет
Message = "4rays TI Cloud: IOC hit added to statistics" И Code = MALICIOUSMessage = "4rays TI Cloud: IOC detected" Code = High——
Message = "4rays TI Cloud: IOC hit added to statistics" И Code = SUSPICIOUSMessage = "4rays TI Cloud: IOC detected" Code = Medium——
Message = "4rays TI Cloud: IOC hit added to statistics" И Code = UNKNOWN И выполняется хотя бы одно из условий:
1. В течение 2 суток зафиксировано ≥ N событий взаимодействия:
• конкретного хоста с любым из фидов базы ИЛИ
• конкретного индикатора зоны UNKNOWN с любым из хостов
2. На протяжении ≥ M последних суток фиксируются взаимодействия:
• конкретного хоста с любым из фидов базы ИЛИ
• конкретного индикатора зоны UNKNOWN с любым из хостов		Message = "4rays TI Cloud: IOC detected" Code = Medium——

Пороговые значения N и M задаются в словаре [4rays] Config_TI Cloud Parameters.

Примечания:

  1. Пороговые значения срабатываний определяются в конфигурационном словаре [4rays] Config_TI Cloud Parameters (по умолчанию параметр N = 10 событий, параметр M = 3 суток);
  2. Правило фиксирует срабатывание в стоп-листе [4rays] Tech_Alert Stop List (TTL = 1h), ограничивая генерацию корреляционных событий, при этом срабатывания доступны для анализа в активном листе [4rays] Tech_TI IOC Hits Statistics;
  3. Правило сохраняет корреляционное событие только в случае, если сработало правило третьего порядка.

[4rays] Alert_TI IOC Detected​

Порядок срабатывания правила корреляции — 3.

Логика правилаГенерация корреляционного событияГенерация алерта
Message = "4rays TI Cloud: IOC detected"
И
Code = High		Корреляционное событие с критичностью HighАлерт с критичностью High
(см. примечание)

Примечания:

  1. Для настройки алерта требуются дополнительные действия, описанные в инструкции по настройке контента;
  2. Уникальными ключевыми полями алерта является комбинация полей VictimHostID и AttackerHostID.

[4rays] NoAlert_High_TI IOC Detected​

Порядок срабатывания правила корреляции — 3.

Логика правилаГенерация корреляционного событияГенерация алерта
Message = "4rays TI Cloud: IOC detected"
И Code != High
И S.4rays_EventCategory = "4rays: Events from Attack Detection System"		Корреляционное событие с критичностью Highнет

[4rays] NoAlert_Medium_TI IOC Detected​

Порядок срабатывания правила корреляции — 3.

Логика правилаГенерация корреляционного событияГенерация алерта
Message = "4rays TI Cloud: IOC detected"
И Code != High
И S.4rays_EventCategory != "4rays: Events from Attack Detection System"		Корреляционное событие с критичностью Mediumнет

Настройка детектирующего контента​

Для настройки контента детектирования необходимо выполнить следующие шаги:

Настройка технической категории для событий СЗИ​

Для повышения критичности срабатываний предназначен фильтр [4rays] Event from Detection System. Событиям от СЗИ, попадающим под этот фильтр, на корреляторе назначается техническая категория в поле расширенной схемы событий S.4rays_EventCategory.

  1. Для настройки категории добавьте обогащение на каждом из корреляторов, на котором планируется работа детектирующих правил: Ресурсы → Активные сервисы → Корреляторы → [выбрать коррелятор] → Редактирование коррелятора → Обогащение событий → Добавить обогащение.

  2. Заполните основные поля следующими значениями (Рисунок 8):

    • Название: [4rays] Events from Attack Detection System
    • Исходный тип: константа
    • Целевое поле: S.4rays_EventCategory
    • Константа: 4rays: Events from Attack Detection System
    • Фильтр: …/4rays TI Cloud/[4rays] Event from Detection System

Рисунок 8 – Настройка обогащения на корреляторе KUMA

  1. Сохранить выполненные изменения.

Настройка правил логики детектирования​

Для настройки логики детектирования привяжите указанные ниже правила к каждому из корреляторов, которыми обрабатываются проверяемые события:

  • [4rays] Tech_TI IP IOC Collect Hits Statistics
  • [4rays] Tech_TI Domain or URL IOC Collect Hits Statistics
  • [4rays] Tech_TI Hash IOC Collect Hits Statistics
  • [4rays] Tech_TI IOC Detected

Настройка правил логики оповещения​

  1. Привяжите указанные ниже правила к каждому из корреляторов, которыми обрабатываются проверяемые события:

    • [4rays] Alert_TI IOC Detected
    • [4rays] NoAlert_High_TI IOC Detected
    • [4rays] NoAlert_Medium_TI IOC Detected

  2. При необходимости настройки алертов выполните следующие действия: Параметры → Другое (Алерты) → [Выбрать тенант] → Параметры алертов → Связи правил сегментации → Добавить связь правила сегментации.

  3. Заполните основные поля следующими значениями (Рисунок):

    • Название: [4rays] TI IOC Alert Generator
    • Тенанты и правила корреляции: .../4rays TI Cloud/notification/[4rays] Alert_TI IOC Detected
    • Правило сегментации: .../4rays TI Cloud/[4rays] TI IOC Alert Generator

Рисунок 9 – Настройка алерта в KUMA

  1. Сохраните изменения.

Окончание настройки​

Для окончания настройки примените изменения на всех задействованных корреляторах путём обновления параметров в меню: Ресурсы → Активные сервисы → Корреляторы → [выбрать необходимый коррелятор(ы)] → Обновить параметры.

Примеры корреляционных срабатываний и нотификаций​

Правило [4rays] Alert_TI IOC Detected с критичностью High + Алерт на индикатор с зоной MALICIOUS​

Пример срабатывания корреляционного правила [4rays] Alert_TI IOC Detected с критичностью High + Алерт на индикатор с зоной MALICIOUS представлен на рисунках:

Рисунок 10 – Пример срабатывания индикатора с зоной MALICIOUS Рисунок 11 – Описание алерта на индикатор с зоной MALICIOUS

Правило [4rays] NoAlert_High_TI IOC Detected с критичностью High на индикатор с зоной SUSPICIOUS​

Пример срабатывания корреляционного правила [4rays] NoAlert_High_TI IOC Detected с критичностью High на индикатор с зоной SUSPICIOUS представлен на рисунке:

Рисунок 12 – Пример срабатывания High индикатора с зоной SUSPICIOUS

Правило [4rays] NoAlert_Medium_TI IOC Detected с критичностью Medium на индикатор с зоной UNKNOWN​

Пример срабатывания корреляционного правила [4rays] NoAlert_Medium_TI IOC Detected с критичностью Medium на индикатор с зоной UNKNOWN представлен на рисунке:

Рисунок 13 – Пример срабатывания Medium индикатора с зоной UNKNOWN

Правило [4rays] Alert_TI IOC Detected с критичностью High на индикатор с зоной MALICIOUS​

Пример срабатывания корреляционного правила [4rays] Alert_TI IOC Detected с критичностью High на индикатор с зоной MALICIOUS представлен на рисунке:

Рисунок 14 – Пример срабатывания High индикатора с зоной MALICIOUS