Zdroj protokolu v korelačních pravidlech

Sekce logsource korelační (detekční) pravidla říká LogMan.io Correlator které kanály událostí má odebírat. Korelator porovnává logsource pravidla s logsource v deklaracích kanálů událostí nájemců pod /EventLanes/<tenant>/. Pokud není nic shodné, pravidlo je načteno, ale nekonzumuje témata Kafka a nespustí se.

Když uvidíte tuto Pozornost / chybu

Zpráva (krátká forma):

Sekce Logsource definovaná tímto detekčním pravidlem neodpovídá žádnému kanálu událostí v knihovně …

Maják pozornosti uživatelského rozhraní je umístěn na řádku logsource v YAML pravidle. Zpráva uvádí několik příkladů bloků logsource, které byly převzaty z existujících událostních linek nájemce.

Co dělat

1. Otevřete Knihovnu a přejděte do /EventLanes/<your-tenant>/.
2. Otevřete event lane, která by měla poskytovat tato detekce (stream, jehož události chcete korelovat).
3. Najděte sekci logsource v deklaraci tohoto event lane (nebo v šabloně event lane, ze které byl vytvořen, v /Templates/EventLanes/).
4. Zkopírujte tento logsource do korelačního pravidla (stejné klíče a hodnoty: vendor, product, category, service, …).
5. Uložte pravidlo. Po restartu Knihovny by korelátor měl vyřešit Kafka téma a maják Pozornosti pro tento problém by měl zmizet.

Příklad — událostní dráha:

# /EventLanes/mytenant/fortinet-fortigate-1.yaml
define:
  type: lmio/event-lane
  name: FortiGate

logsource:
  vendor:
    - fortinet
  product:
    - fortigate
  category:
    - firewall

kafka:
  events:
    topic: events.mytenant.fortinet-fortigate-1

Stejný logsource na pravidle:

# /Correlations/.../My FortiGate Rule.yaml
define:
  name: My FortiGate Rule
  type: correlator/match
  # ...

logsource:
  vendor:
    - fortinet
  product:
    - fortigate
  category:
    - firewall

predicate:
  # ...

Tip

Pouhé přejmenování souboru pravidla není dostatečné, pokud define.name koliduje s jiným pravidlem. U nesouladů logsource je opravou vždy sladit logsource s existující událostní linií, nikoli vymýšlet nové řetězce vendor/product, pokud zároveň neaktualizujete linii (nebo šablonu).

Pokud zpráva uvádí, že pod cestou nájemce nejsou žádné událostní linie s logsource, nejprve vytvořte nebo opravte událostní linie (z šablon), poté zkopírujte logsource do pravidla.

Jak logsource vypadá v šabloně

Typická šablona v /Templates/EventLanes/ definuje logsource takto:

logsource:
  vendor:
    - microsoft
  product:
    - windows
  category:
    - authentication

Každý klíč obvykle obsahuje jedno nebo více řetězců. Několik šablon vůbec nepředefinuje logsource.

Klíče v objektu logsource

Klíč	Co to vybírá
vendor	Prodejce nebo značka (např. microsoft, cisco)
product	Produkt nebo platforma (např. windows, fortigate)
category	Široká oblast událostí (např. firewall, autentizace)
service	Jemnější označení úrovně služby tam, kde jej šablony používají (neobvyklé)

kategorie (abecedně)

řízení-přístupu, anomálie, detekce-anomálií, antivirus, aplikace, audit, autentizace, záloha, cloud, komunikace, výpočet, připojení, kontejnerizace, databáze, dhcp, dns, edr, e-mail, koncový bod, bezpečnost-koncového-bodu, soubor, přístup-k-souboru, firewall, ftp, hardware, zdravotnická-informatika, ids, detekce-vniknutí, detekce_vniknutí, malware, správa, lékařské-snímkování, monitorování, síť, síťově-připojené-úložiště, oob, napájení, tisk, proxy, scada, bezpečnost, sharepoint, spam, úložiště, switch, systém, telefonie, detekce-hrozeb, ups, virtualizace, voip, vpn, webový-server, wifi

dodavatel (abecedně)

alcatel-lucent, apache, apc, barracuda, bitdefender, bluecoat, broadcom, brother, check-point, cisco, citrix, dell, devolutions, eaton, eset, f5, fidelis, filezilla, flowmon, fortinet, gfi, gordic, haproxy, helios, hp, hpe, ibm, icewarp, innovaphone, ivanti, juniper, kerio, lenovo, manageengine, mcafee, microsoft, mikrotik, minolta, netgate, netgear, openstack, oracle, palo-alto-networks, philips, philips-healthcare, purestorage, qnap, samba, schneider-electric, sentinelone, siemens, socomec, sophos, symantec, synology, teskalabs, ubiquiti, veeam, vmware, whalebone, wowza, ysoft, zabbix, zeek, zyxel

produkt (abecedně)

advanced-threat-analytics, advanced-visualization-workspace, advanced-visualization-workspace-15, apache-http-server, apc-ups, avw, bitdefender-cloud-security, bitdefender-gravityzone, brother-mfc, check-point-firewall, cisco-aci, cisco-asa, cisco-catalyst, cisco-ftd, cisco-ios, cisco-ise, cisco-mds, cisco-meraki, cisco-nexus, cisco-ucs, cisco-wlc, defender, defender-for-endpoint, dell-idrac, dell-powervault, diris, diskstation-manager, dna-center, dsm, eaton-ups, ecs, elastic-cloud-storage, eset-protect, ex-series, fidelis-endpoint, fidelis-network, flashsystem, flowmon-ads, fortianalyzer, fortiauthenticator, forticlient, fortigate, fortimail, fortimanager, fortiswitch, helios, hp-laserjet, hpe-primera, hpe-storeonce, ibm-qradar, ibm-tape-library, icewarp-mailserver, junos, kerio-connect, kubernetes, linux, logmanio, m365, manageengine-ad-audit-plus, manageengine-endpoint, mcafee-webwasher, microsoft-dhcp, microsoft-dns, microsoft-exchange, microsoft-iis, microsoft-sharepoint, microsoft-sql, minolta-bizhub, nas, net-vision, netapp, netscaler, network-policy-server, nginx, nova, nps, ntopng, omniswitch, openvpn, oracle-cloud, oracle-listener, oracle-spark, pan-os, pbx, pfsense, qfx-series, qnap-nas, samba-ad-dc, secure-email-gateway, sentinelone, siemens-scalance, software-defined-access, spectrum-scale, squid, srx-series, storwize, switch, synology-nas, ubiquiti-unifi, ups, veeam-backup-replication, vmware-cloud-director, vmware-esxi, vmware-vcenter, windows, wowza-streaming-engine, ysoft-safeq, zabbix, zeek-analyzer, zeek-conn, zeek-dns, zeek-files, zeek-http, zeek-kerberos, zeek-ldapsearch, zeek-mqttconnect, zeek-mqttpublish, zeek-ntp, zeek-ocsp, zeek-pe, zeek-quic, zeek-radius, zeek-sip, zeek-smtp, zeek-snmp, zeek-ssh, zeek-ssl, zeek-syslog, zeek-tunnel, zeek-weird, zeek-x509, zyxel-firewall, zyxel-switch

služba (abecedně)

Používá se pouze v některých šablonách (často souvisejících s Microsoftem): aaa, auditd, messagetrace, syslog

Skalární logsource v korelačních pravidlech

V /Correlations/ můžete také vidět jednotlivou hodnotu místo objektu, například:

logsource: complex

Hodnoty jako base, complex nebo activity určují, kterou třídu vstupu pravidlo využívá. Nejsou totéž jako výše uvedené seznamy šablon vendor / product.

Objekt logsource v korelačních pravidlech

Když filtrujete podle klasifikace jízdního pruhu, použijte stejné klíče jako v šablonách (vendor, product, category, service, …) a vyberte hodnoty ze seznamů na této stránce nebo z událostního pruhu, který odpovídá vašemu proudu. Pokud potřebujete hodnotu, která ještě není uvedena, nejprve rozšiřte příslušnou šablonu v /Templates/EventLanes/, aby byly analýza a korelace synchronizované.

Viz také

• Mapování event.dataset na logsource, když potřebujete propojit hodnoty parseru event.dataset s poli lane logsource.

Sigma používá související, ale odlišný model logsource. Pro konvence Sigma category, product a service viz Log sources.