Использование токенов

Токены позволяют подставлять значения полей после выполнения поискового задания. Их можно использовать в активных действиях Планировщика заданий.

Доступны следующие виды токенов:

• локальный - подставляется из результата поиска конкретного задания. Обозначается как {{token_name}}. Доступен в контексте одного результата поиска
• глобальный - подставляется из значений, введенных в блоке Глобальные параметры Планировщика заданий. Обозначается как <global_token_name>. Доступен в контексте одного запуска поискового задания

Синтаксис локального токена: {{_source.название_поля}}, где название_поля - имя поля в результате поиска. Например, для поля host.ip используйте токен {{_source.host.ip}}.

Синтаксис глобального токена: <global_token_name>, где global_token_name - имя глобального токена. Например, для значения guid используйте токен <guid>.

В глобальных параметрах могут использоваться предопределенные функции, которые вычисляются один раз в начале запуска поискового задания.

Перечень доступных предопределенных функций глобальных параметров:

Функция	Описание
guid()	Генерирует уникальный идентификатор

Токен вида <job-meta-field:название_поля> позволяет обратиться к полю поискового задания или к его полю _meta. Пример приведен ниже.

Перечень доступных полей поисковой задачи:

Параметр	Синтаксис	Описание
title	<job-meta-field:title>	Имя поискового задания
description	<job-meta-field:description>	Описание поискового задания
_tag_values	<job-meta-field:_tag_values>	JSON с описанием всех тегов задания

Перечень доступных _meta полей представлен в таблице:

Параметр	Синтаксис	Описание
id	<job-meta-field:_meta.id>	Идентификатор поискового задания
type	<job-meta-field:_meta.type>	Тип объекта. Значение отображается в поле Тип объекта Планировщика заданий
version	<job-meta-field:_meta.version>	Версия Планировщика заданий
module	<job-meta-field:_meta.module>	Не задано - при создании собственного задания, Smart Monitor Cyber Security - при импорте из модуля Smart Monitor Cyber Security
created	<job-meta-field:_meta.created>	Дата создания поискового задания
update	<job-meta-field:_meta.updated>	Дата обновления поискового задания
tag_ids	<job-meta-field:_meta.tag_ids>	Перечень тегов поискового задания. Допускается использование множества тегов

Чтобы проверить работу токенов, создайте поисковое задание. Сначала укажите имя и описание:

• Имя - RULE - CS - Sysmon - DetectedTaskList
• Описание - срабатывание при обнаружении событий просмотра списка задач на хосте

Затем укажите поисковый запрос и параметры времени:

source sysmon
| search event.code=1 AND command_line="C:\\Windows\\system32\\tasklist.exe"
| aggs count, values(winlog.process.pid) as winlog.process.pid, latest(rule_name_technique_id) as rule_name_technique_id, latest(rule_name_technique_name) as rule_name_technique_name, values(event.action) as event.action, values(host.ip) as host.ip by host.name
| eval title=<job-meta-field:title>
| where count > 1
| table host.name, count, winlog.process.pid, rule_name_technique_id, rule_name_technique_name, event.action, host.ip

• Временной интервал - 60 минут назад
• Временное поле - @timestamp
• Длительность блокировки (сек) - 60

В блоке Расписание задайте параметры:

• Тип расписания: Cron-выражение
• Cron: 3-59/5 * * * *
• Смещение в миллисекундах: 0

В новом задании подавление выключено. Настройте автоматическое правило:

1. Включите переключатель Подавление
2. Выберите Автоматическое подавление
3. Укажите Окно подавления: 5 минут
4. В поле Поле введите host.name

Запрос группирует результаты по host.name, поэтому подавление настраивается по этому полю. Для каждого хоста создается отдельная автоматическая запись. Повторные результаты с тем же host.name не передаются активным действиям, пока запись действует. Подробнее см. в статье Подавление.

В блоке Глобальные параметры добавьте параметр:

• Ключ: guid
• Значение: guid()

В примере используются локальный токен {{_source.host.name}}, глобальный токен <guid> и токен <job-meta-field:title>:

примечание

При использовании локальных токенов _source - системный объект, содержащий все поля результата поиска. Общий вид токена: {{_source.field_name}}, где field_name - имя поля из результата поиска.

После срабатывания поискового задания создан инцидент. На скриншоте показаны значения, подставленные вместо токенов: