Illuminate-ийн баяжуулалтууд (Illuminate Enrichments) гэж юу вэ?

Illuminate нь үйл явдлуудыг нөхцөл байдлыг тодруулах нэмэлт өгөгдлөөр баяжуулдаг (enrichment). Энэ нь Illuminate-ийн үндсэн функц болон боловсруулалтын олон багцад (processing packs) хэрэглэгддэг. Энэ нийтлэлд Illuminate-ийн үндсэн хэсгээс нэмдэг, ашигладаг баяжуулалтуудыг тайлбарлана.

Illuminate-д өгөгдсөн зарим хайлтыг (lookup) хэрэглэгч өөрөө тохируулж болно. Тохиромжтой тохиолдолд тухайн хайлтын тайлбарт нарийвчлан дурдсан.

Severity Mapping Enrichments (Ноцтой байдлын харгалзуулалт)

Үйл явдлын лог болон сэрэмжлүүлэгт ихэвчлэн ноцтой байдлын түвшин (severity) заасан байдаг. Заримдаа энэ нь текст хэлбэрээр, заримдаа тоон утгаар ирдэг. Severity mapping хайлтууд нь зөвхөн текст эсвэл зөвхөн тоон утга тодорхойлогдсон үед нөгөө харгалзах утгыг нь автоматаар тодорхойлж өгнө.

Illuminate-ийн үндсэн хэсэгт орсон severity mapping хайлтууд:

• illuminate-mapping-alert-severity-to-level: Мессежид alert_severity утга байгаа боловч alert_severity_level талбар байхгүй бол энэ харгалзуулалтаар түвшний утгыг тодорхойлно.
• illuminate-mapping-level-to-alert-severity: Мессежид alert_severity_level тоон утга байгаа боловч alert_severity утга байхгүй бол энэ харгалзуулалтаар ноцтой байдлын утгыг тодорхойлно.
• illuminate-mapping-event-severity-to-level: Мессежид event_severity утга байгаа боловч event_severity_level талбар байхгүй бол энэ харгалзуулалтаар түвшний утгыг тодорхойлно.
• illuminate-mapping-event-level-to-severity: Мессежид event_severity_level тоон утга байгаа боловч event_severity утга байхгүй бол энэ харгалзуулалтаар ноцтой байдлын утгыг тодорхойлно.

GIM Data Enrichment (GIM өгөгдлийн баяжуулалт)

Энэ хайлт нь gim_event_type_code утгыг аван дараах талбаруудыг тодорхойлно:

• gim_event_class
• gim_event_category
• gim_event_subcategory
• gim_event_type

Network Range Enrichment Lookup (Сүлжээний мужаар баяжуулах хайлт)

Illuminate нь логт тодорхойлогдсон эх сурвалж (source), очих (destination), хост (host) системүүдэд ангиллын талбар тодорхойлох боломж олгодог. Энэ баяжуулалт нь source_ip, destination_ip, host_ip талбаруудыг шалгана. Эдгээр талбар дахь IP хаяг нь сүлжээний мужуудын хайлтад (network ranges lookup) нэмсэн муж дотор байвал, тухайн хайлтад заасан ангиллын утгуудыг харгалзан source_category, destination_category, host_category талбарт онооно.

Security Data Lake Illuminate-ийг суулгаж, аливаа контент багцыг (content pack) идэвхжүүлсний дараа core_networks_adapter нэртэй хайлтын адаптер (lookup adapter) бүхий хайлт нэмэгдэнэ. Та энэ хайлтын адаптерт бичлэг нэмж, ирж буй логт нэмэгдэх нэг буюу хэд хэдэн ангиллын утгыг зааж өгч болно.

Сүлжээний мужид тулгуурлан хостуудад ангилал тодорхойлох

1. 1Security Data Lake интерфэйсийн Enterprise> Illuminate хэсэгт очно.
2. 2Illuminate хуудасны зүүн дээд талд байрлах Customization табыг дарна. Энд Illuminate-ийн хайлтын адаптеруудын жагсаалт харагдана.
3. 3core_networks_lookup нэртэй хайлтын адаптерыг олж, адаптерын бичлэгийн баруун талд байрлах Edit товчийг дарна. Түлхүүр баганын нэр нь ip range, утга баганын нэр нь ip category data байх оруулах талбар харагдана.
4. 4ip range баганад CIDR хэлбэрээр бичсэн IP мужийг (IPv4 болон IPv6 хоёулаа дэмжигдэнэ) нэмнэ.
5. 5ip category data баганад нэг буюу хэд хэдэн ангиллын утгыг нэмнэ. Утга бүрийг босоо зураасаар (|) тусгаарлана.

Эдгээр ангиллын утгыг хайхад хялбар байлгахын тулд зөвхөн үсэг, тоо ашиглаж, хоосон зайг доогуур зураас (_) зэрэг орлуулах тэмдэгтээр солихыг зөвлөж байна.

HTTP Data Enrichment Adapters (HTTP өгөгдлийн баяжуулалтын адаптерууд)

Эдгээр хайлт нь HTTP-ийн зарим түгээмэл талбарыг хэрэгцээтэй өгөгдлөөр баяжуулна. Энэ бүлэгт хоёр хайлтын адаптер байна:

1. 1lookup_http_class
2. 2lookup_http_response

Illuminate нь http_response_code талбар тодорхойлогдсон үед үүнийг илрүүлж, тухайн үйл явдлыг хоёр талбараар баяжуулна:

• http_response_class: Хариултын анги нь HTTP хариултын эхний цифрт үндэслэнэ (RFC2616#6.1.1).
• http_response: Хариултын нэр томьёо нь хариултын кодтой тохирно (RFC2616#6.1.1 болон RFC6585).

Network Protocol Enrichments (Сүлжээний протоколын баяжуулалт)

Эдгээр хайлт нь сүлжээтэй холбоотой үйл явдлын логт тохирох талбарууд байгаа эсэхээс хамаарч үйл явдлыг баяжуулна.

Network Protocols (Сүлжээний протоколууд)

Сүлжээний зарим эх сурвалж протоколын нэрийг өгөлгүй, зөвхөн IANA-д бүртгэгдсэн протоколын дугаар-ыг (network_iana_number талбарт оноогдох ёстой) тоон утгаар өгдөг. core_iana_to_network_transport нэртэй хайлтын адаптер бүхий хайлтыг ашигладаг энэ баяжуулалт нь зөвхөн network_iana_number тодорхойлогдсон үед үүнийг илрүүлж, протоколын нэрийг тодорхойлоод network_transport талбарт онооно.

Reserved/Non-Routable Address Identification (Нөөцлөгдсөн болон чиглүүлэгдэхгүй хаягийг тодорхойлох)

Энэ хайлт дараах түлхүүр талбаруудыг шалгана:

• source_ip
• destination_ip
• host_ip

Эдгээр талбарын аль нэг нь байвал core_ip_processing_reserved_ip_ranges_adapter нэртэй адаптер бүхий хайлтаар нөөцлөгдсөн IP хаягийн мужийг ашиглаж буй эсэхийг тодорхойлно. Ашиглагдах нөөцлөгдсөн мужууд:

• 192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8, [RFC1918](https://www.rfc-editor.org/rfc/rfc1918) — reserved_ip, rfc1918, is_internal
• 127.0.0.0/8, [RFC1122](https://www.rfc-editor.org/rfc/rfc1122#page-31): loopback хаягийн талаар 3.2.1.3 хэсгийг үзнэ үү — reserved_ip, is_internal, is_loopback, rfc1122
• 169.254.0.0/16, [RFC3927](https://www.rfc-editor.org/rfc/rfc3927): IPv4 link-local хаяглалт (APIPA хаяглалт гэж бас нэрлэдэг) — reserved_ip, is_internal, rfc3297
• 224.0.0.0/4, [RFC3171](https://www.rfc-editor.org/rfc/rfc3171): IPv4 Multicast хаяглалт — multicast, reserved_ip, rfc3171
• fe80::/10, ff00::/8, ::1/128, ::/128, ::FFFF:0:0/96, [RFC4291](https://www.rfc-editor.org/rfc/rfc4291.html#section-2.4): IPv6 хаягийн архитектурын 2.4 хэсгийг үзнэ үү — reserved_ip, is_internal, rfc4291
• fc00::/7, [RFC4193](https://www.rfc-editor.org/rfc/rfc4193#section-3.1): IPv6 unique local unicast хаяглалтын 3.1 хэсгийг үзнэ үү — reserved_ip, is_internal, rfc4193
• 2002::/16, [RFC3056](https://www.rfc-editor.org/rfc/rfc3056#section-2): IPv4-ийг IPv6-д багтаах (encapsulation) — reserved_ip, 6_to_4, rfc3056
• 2001::/32, [RFC4380](https://www.rfc-editor.org/rfc/rfc4380): Teredo — reserved_ip, teredo, rfc4380
• 192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24, [RFC5737](https://www.rfc-editor.org/rfc/rfc5737): баримтжуулалтад зориулсан IPv4 нөөц хаягийн блок — reserved_ip, is_illegal, rfc5737
• 198.18.0.0/15, [RFC2544](https://www.rfc-editor.org/rfc/rfc2544#appendix-C.2.2): туршилт хэмжилтэд (benchmark) зориулсан IPv4 нөөц хаягууд — reserved_ip, is_internal, rfc2544
• 2001:db8::/32, [RFC3849](https://www.rfc-editor.org/rfc/rfc3849): баримтжуулалтад зориулсан IPv6 нөөц хаягийн блок — reserved_ip, is_illegal, rfc3849
• 2001:10::/28, [RFC4843](https://www.rfc-editor.org/rfc/rfc4843): Orchid чиглүүлэлт — reserved_ip, rfc4843

Illuminate нь түлхүүр талбар дахь IP хаяг дээрх аль нэг мужид хамаарч байгааг илрүүлбэл gim_tags талбарт утгууд нэмнэ. Нэмэгдэх утгуудын зарим нь нийтлэг, зарим нь тухайн мужид хамаарах бөгөөд Illuminate-ийн тодорхойлсон түлхүүр талбарын нэрийг угтвар болгоно. Жишээлбэл, source_ip утга нь 192.0.2.10 IP хаяг бол Illuminate gim_tags талбарт дараах утгуудыг нэмнэ:

• source_reserved_ip
• source_is_illegal
• source_rfc5737