Брокер
Общее описание
Брокер собирает сообщения модулей Smart Monitor в общий журнал и по этим сообщениям идентифицирует объекты: хосты, учетные записи пользователей и другие сущности. В карточке объекта отображаются сведения, полученные от модулей, и связи с другими объектами.
Например, менеджер инцидентов сообщает об открытии инцидента на хосте, UBA — об изменении риск-балла этого хоста, а Инвентаризация — об изменении актива. Все три сообщения оказываются в карточке одного объекта.
Работа с Брокером
Чтобы начать работу с Брокером:
- Включите прием сообщений, добавьте Брокер в навигационное меню и настройте права доступа
- На странице Источники сообщений выберите модули и типы сообщений, которые нужны в журнале
- Создайте правила идентификации, по которым из сообщений идентифицируются объекты
- Просматривайте сообщения в журнале и сведения об объектах в их карточках
Основные понятия
| Понятие | Описание |
|---|---|
| Модуль | компонент Smart Monitor, который присылает сообщения в журнал, например Менеджер инцидентов или UBA |
| Сообщение | запись журнала о том, что произошло в модуле: открыт инцидент, изменился риск-балл, создан актив |
| Тип сообщения | вид сообщения модуля, например Инцидент открыт или Изменился риск-балл |
| Категория | общий смысл типа сообщения. Все категории перечислены в разделе Категории сообщений |
| Поле идентификации | поле сообщения, по которому определяется объект, например имя хоста или логин |
| Конфигурация идентификации | правило, которое задает, по каким полям модулей сообщения относятся к одному объекту |
| Объект | запись Брокера, которая объединяет сообщения разных модулей об одной сущности. Сообщения попадают в один объект, если значения их полей идентификации совпадают по правилам конфигурации идентификации |
| Связь | отношение двух объектов, о которых есть общие сообщения |
Категории сообщений
| Категория | Что означает | Пример типа сообщения |
|---|---|---|
Сигнал | модуль что-то обнаружил | Инцидент открыт, Обнаружена аномалия |
Смена состояния | объект перешел в другое состояние | Изменилась зона риска, Состояние сервиса изменилось |
Изменение данных | изменились сведения об объекте | Актив создан, Актив изменен |
Оценка | изменилась числовая оценка объекта | Изменился риск-балл, Начислен риск-балл MITRE ATT&CK |
Действие | над объектом выполнено действие | Инцидент назначен, Аномалия обработана |
Модули и типы сообщений
| Модуль | Типы сообщений |
|---|---|
Менеджер инцидентов | Инцидент открыт, Инцидент назначен, Статус инцидента изменен, Инцидент закрыт |
UBA | Обнаружена аномалия, Аномалия обработана, Изменился балл аномалии, Изменился риск-балл, Изменилась зона риска |
Инвентаризация | Актив создан, Актив изменен, Актив удален |
РСМ или МАЯК | Состояние сервиса изменилось, Состояние метрики сервиса изменилось |
MITRE ATT&CK | Зафиксирована техника MITRE ATT&CK, Начислен риск-балл MITRE ATT&CK |
Настройка
Настройка Брокера Smart Monitor: предварительные требования, включение приема сообщений, срок хранения журнала, права доступа и навигационное меню.
Источники сообщений
Страница «Источники сообщений» Брокера: выбор модулей и типов сообщений, которые поступают в журнал, и поля идентификации модулей.
Журнал
Журнал Брокера: сообщения всех модулей Smart Monitor и результат идентификации объектов по каждому сообщению.
Объекты
Объекты Брокера: список идентифицированных объектов и карточка объекта со сведениями модулей, активностью, таймлайном, сообщениями и графом связей.
Правила идентификации
Правила идентификации Брокера: создание, изменение и удаление конфигураций идентификации, пересборка.