Активные действия

Активные действия позволяют выполнять операции с результатами поискового запроса.

Чтобы просмотреть настроенные активные действия в Smart Monitor, откройте интерфейс создания или настройки поискового задания, выберите вкладку Активные действия и нажмите Добавить.

Список доступных в системе действий представлен ниже:

• Отправка E-mail - Отправляет сообщение по указанному адресу. Подробнее см. в статье
• Создание инцидента - Создает инцидент в модуле Менеджер инцидентов. Подробнее см. в статье
• Индексация событий - Позволяет записывать результат выполнения запроса в индекс. Подробнее см. в статье
• Запись в БД - Позволяет записывать результаты выполнения запроса во внешние базы данных
• Логирование событий - Записывает результаты поискового запроса в файл job_scheduler.log компонента Планировщик задач
• Фиксация техник MITRE ATTACK - Помечает события как срабатывания техник и подтехник базы MITRE ATT&CK® и записывает их в индекс
• Начисление риск-балла MITRE ATTACK - Записывает риск-балл для срабатывания
• Начисление риск-балла - Записывает риск-балл
• Запуск другой задачи - Позволяет выполнить имеющееся поисковое задание из компонента Планировщик задач
• Запуск скрипта - Запускает скрипт, размещенный на сервере
• Вебхук - Позволяет выполнять HTTP-запросы к удаленному серверу

Далее описаны доступные активные действия и их параметры.

---

Отправка E-mail

Описание параметров:

• Кому - адрес получателя
• Тема - тема письма
• Подпись - подпись в конце письма
• Тело письма - сообщение для отправки, имеется возможность переключения на HTML-разметку
• Параметр "Не запускать для каждого результата" - запуск активного действия для результатов всего запроса, при выключенном параметре активное действие будет применено для каждого результата запроса
• Добавить время - добавляет серверное время на момент отправки
• Добавить таблицу - добавляет в тело сообщения таблицу с результатами поиска
• Отправить файл - в письмо добавится csv-файл с результатами поискового запроса
• Объединить - объединяет результаты выполнения поискового запроса в одно сообщение
• Настройка заголовков - настройка служебных заголовков
  • Переопределение - настройка служебных заголовков, которые будут отправлены в каждом письме
    • Заголовки - служебный заголовок
    • Значения - одно или несколько данных, записываемых в заголовок
  • Исключение - настройка служебных заголовков, которые будут исключены в каждом письме

Исключение заголовков

Некоторые почтовые шлюзы и реле могут ошибочно интерпретировать служебные заголовки, например Content-Type, как признак наличия вложения и блокировать письмо по правилам фильтрации, даже если файл не прикреплен. Исключение заголовков из письма помогает предотвратить ложные срабатывания систем безопасности на стороне получателя.

Зарезервированные заголовки

Использование некоторых заголовков в настройках запрещено, так как они зарезервированы системой.

К таким зарезервированным заголовкам относятся:

• Return-Path
• Received
• Resent-Date
• Resent-From
• Resent-Sender
• Resent-To
• Resent-Cc
• Resent-Bcc
• Resent-Message-Id
• Date
• From
• Sender
• Reply-To
• To
• Message-Id
• In-Reply-T
• References
• Subject
• Errors-To
• MIME-Version
• Content-Type
• Content-Transfer-Encoding
• Content-MD5
• Content-Length
• Received-SPF

---

Создание инцидента

Действие содержит следующие поля:

• Название инцидента - краткое название, идентифицирующее инцидент в общем списке
• Критичность - уровень важности инцидента. Подробнее см. в разделе Настройка уровней критичности
• Workflow - рабочий процесс
• Тип инцидента - тип инцидента
• Описание инцидента - подробное описание инцидента. Редактор поддерживает GitHub Flavored Markdown
• Тип детализации - формат дополнительной информации
  • Поиск - поисковый запрос с событием или дополнительной информацией по инциденту. Для этого типа детализации можно настроить временные границы, за которые нужно просмотреть детализацию
  • Ссылка - ссылка на дополнительную информацию, например на документацию
• Детализация - поисковый запрос или URL с дополнительной информацией. Для детализации типа Поиск можно указать временные границы, в которых будет выполняться поиск при переходе из инцидента. Если границы не заданы, используются границы поискового задания, создавшего инцидент
• Суффикс индекса - позволяет создавать инциденты в определенном индексе, см. суффиксы индексов
• Настройки запуска - настройки запуска активного действия
  • Не запускать для каждого результата - создает один инцидент, даже если поиск вернул несколько результатов
• Дополнительные поля - настраиваемые поля, определенные в настройках модуля
• Поля из результатов поиска - пары ключ-значение из результатов поискового задания
• Связь с Inventory - указание Inventory и полей из инцидента для связывания. Более подробно Интеграция с модулем Inventory
• Локальные параметры - пары ключ-значение локальных и глобальных токенов для динамической подстановки данных

Использование токенов

Для полей Критичность и всех полей из блока Дополнительные поля можно использовать токены поисковой задачи, см. Использование токенов

В пункте Поля из результатов поиска укажите поля из поискового запроса и передайте для них значение none. Тогда при просмотре инцидента у полей сохранятся имена из поля ключ.

---

Индексация событий

Описание параметров:

• Название индекса - имя индекса
• Обновлять документ - при включенном параметре происходит обновление документа при каждом выполнении запроса вместо создания нового
• Параметр "Не запускать для каждого результата" - запуск активного действия для результатов всего запроса, при выключенном параметре активное действие будет применено для каждого результата запроса

---

Запись в БД

Описание параметров:

• Пользователь - идентификатор JDBC-пользователя для авторизации в БД
• Соединение - идентификатор JDBC-подключения к БД
• Имя таблицы - таблица БД, в которую будут записываться результаты запроса
• Параметр "Не запускать для каждого результата" - запуск активного действия для результатов всего запроса, при выключенном параметре активное действие будет применено для каждого результата запроса

к сведению

Информация о создании и управлении JDBC-подключениями и JDBC-пользователями содержится в статье Job Scheduler API.

---

Логирование событий

Настройка параметров не требуется.

---

Фиксация техник MITRE ATTACK

Результат выполнения активного действия записывается в индекс .smos_mitre-*. Данные в индексе можно использовать для генерации инцидентов.

Описание параметров:

• Название - системное название активного действия
• Правило - название корреляционного правила, для которого настраивается сработка
• Слои - выбор созданного слоя в MITRE ATT&CK®
• Техника - список техник, которые характеризуют данную сработку
• Критичность - уровень критичности события
• Параметр "Не запускать для каждого результата" - запуск активного действия для результатов всего запроса, при выключенном параметре активное действие будет применено для каждого результата запроса
• Поля результатов - поля вида ключ-значение для использования параметров из запроса

Совместное использование с действием "создание инцидента"

Если действие "Фиксация техник MITRE ATTACK" выполняется после действия "Создание инцидента", в документ автоматически добавляется поле incident_id с идентификатором инцидента, созданного тем же срабатыванием.

---

Начисление риск-балла

Действие начисляет риск-балл объекту или событию.

Описание параметров:

• Балл - количество риск-баллов
• Индекс - индекс, в котором будут храниться события начисления риск-балла
• Поля результатов - поля вида ключ-значение для использования параметров из запроса
• Тип скоринга - тип скоринга, которому будет принадлежать начисленный риск-балл

---

Начисление риск-балла MITRE ATTACK

Результат выполнения активного действия записывается в индекс .smos_risk-*. Позволяет начислить риск-балл, например, для категории пользователей или хостов за выполнение контролируемых действий. Данные в индексе можно использовать для генерации инцидентов.

Описание параметров:

• Название - системное название активного действия
• Категории риска - по какой сущности производится подсчет (система и/или пользователь)
• Риск-балл - количество риск-баллов по сработке
• Точность - вес оценки риск-балла. Принимает значение от 0 до 1
• Параметр "Не запускать для каждого результата" - запуск активного действия для результатов всего запроса, при выключенном параметре активное действие будет применено для каждого результата запроса
• Поля результатов - поля вида ключ-значение для использования параметров из запроса

---

Запуск другой задачи

Описание параметров:

• Выберите действие - имя запускаемого поискового задания (рядом с дочерней задачей отображается имя SP-клиента, в котором происходит поиск)
• Параметр "Не запускать для каждого результата" - запуск активного действия для результатов всего запроса, при выключенном параметре активное действие будет применено для каждого результата запроса

---

Запуск скрипта

Активное действие Запуск скрипта используется для автоматического выполнения shell- и Python-скриптов на удаленном сервере при срабатывании правил.

Скрипт должен находиться на сервере, где запущен Smart Monitor Remote Execution. Этот сервер указывается в настройках компонента Планировщик задач.

к сведению

Информация о настройке SME-RE содержится в отдельном разделе документации.

Описание параметров:

• Команда для запуска скрипта - команда, которая будет выполнена на удаленном сервере. Может содержать абсолютный путь до исполняемого файла или произвольную shell-команду

Для выполнения Python-скриптов необходимо явно указать используемый интерпретатор Python, например:

python3 /app/smart-monitor/utils/scripts/test.py

После имени скрипта можно передать дополнительные параметры (аргументы командной строки), например:

python3 /app/smart-monitor/utils/scripts/test.py --index logs-* --limit 100

• Параметр "Не запускать для каждого результата" - при включении активное действие выполняется один раз для всех результатов запроса. При выключении параметра действие применяется отдельно к каждому результату

---

Вебхук

Можно использовать для записи результатов поисковой задачи во внешнюю систему с использованием HTTP-запросов.

Описание параметров:

• Протокол - выбор протокола http/https для выполнения запросов
• Хост - адрес сервера, принимающего запросы
• Порт - порт сервера, принимающего запросы
• Тип запроса - тип запроса к серверу. Доступные варианты: GET, POST, PUT, DELETE
• Запрос - путь к ресурсу после порта. Например, path/to/source в адресе https://example.source:443/path/to/source
• Параметр "Не запускать для каждого результата" - при включении активное действие выполняется один раз для всех результатов запроса. При выключении параметра действие применяется отдельно к каждому результату
• Параметры - передаются в адресной строке в виде пар ключ-значение. Например, ?param1=value1&param2=value2 в адресе https://example.source:443/path/to/source?param1=value1&param2=value2
• Авторизация - выполнение авторизации на принимающем запрос сервере
• Заголовки - передаются принимающему серверу в виде пар ключ-значение. Например: User-Agent, Cookie, Authorization
• Тело - передача данных принимающему серверу
• SSL/TLS - позволяет использовать протоколы шифрования соединения

Отправка через HTTP-прокси

Для отправки вебхука через HTTP-прокси:

1. Откройте вкладку Прокси
2. Включите переключатель Отправлять через прокси
3. Заполните параметры подключения

Поле	Описание
Хост	Адрес хоста прокси
Порт	Порт прокси от 1 до 65535
Пользователь	Имя пользователя прокси
Пароль	Пароль пользователя прокси

к сведению

Если прокси требует авторизацию, заполните поля Пользователь и Пароль. В противном случае оставьте их пустыми.

Как и пароль на вкладке Авторизация, пароль прокси хранится в защищённом хранилище keystore.

При редактировании задания оставьте поле Пароль пустым, чтобы сохранить текущий пароль. Для смены пароля введите новое значение и сохраните задание.

После импорта задания пароль прокси нужно ввести заново.

Если опция Отправлять через прокси выключена, вебхук отправляется напрямую.

Параметры API описаны в разделе Прокси.