LogMan.io Correlator¶

TeskaLabs LogMan.io Correlator je mikroslužba odpovědná za provádění detekcí a hledání vzorců v datech na základě korelačních pravidel.

LogMan.io Correlator je vždy nasazen pro daného nájemce.

Na shlucích s Tenant Rex jsou instance korelátoru automaticky vytvářeny ze selekce Detections. Viz Tenant Rex.

Důležité poznámky¶

Každý korelátor má v konfiguračních souborech povinné sekce, viz sekce Konfigurace.
Korelátor nemůže fungovat bez korelačních pravidel. Další informace o tom, jak vytvářet korelační pravidla, naleznete v části Window Correlator.
Pro logsource v pravidlech (skalární vs objekt a hodnoty sladěné s šablonami událostí), viz Logsource v korelačních pravidlech.

Výchozí signály¶

Každý korelátor odesílá signál pro upozornění managementu (používající výchozí spouštěč signálu) k vytvoření tiketů; jsou seskupeny podle atributů specifikovaných v sekci evaluate, jinak se pro seskupování používá cesta pravidla. Pro úplné odkazy na sekci signal (seskupování, výchozí spouštěč) viz Signal. Souhrn:

Chcete-li použít různé atributy seskupování, přidejte sekci signal do deklarace korelátoru:

signal:
  grouping:
    - user.name

Chcete-li výchozí spouštěč signálu úplně vypnout, použijte možnost default:

signal:
  default: false