Особенности работы и ограничения обнаружения аномалий с помощью Sigma-правил
Функциональность обнаружения аномалий с помощью Sigma-правил имеет следующие ограничения:
Для работы Sigma-правила "Изменение или удаление журналов событий Windows на узле DeltaV" сразу после установки компонента Обнаружение аномалий с помощью Sigma-правил требуется перезагрузить компьютер или остановить и заново запустить службу Журнал событий Windows.
Запустите приложение Windows Службы (services.msc).
В списке служб найдите Журнал событий Windows.
В контекстном меню службы Журнал событий Windows выберите Остановить, чтобы остановить работу службы.
В контекстном меню службы Журнал событий Windows выберите Запустить, чтобы запустить службу.
Не поддерживаются следующие модификаторы значений: base64offset, cidr, lt, windash.
Не поддерживаются регулярные выражения.
Не поддерживается экранирование подстановочных знаков.
Подстановочный знак ? обрабатывается приложением как *.
Не поддерживается конструкция "condition: not selection", при этом поддерживается конструкция "condition: selection and not filter".
Не поддерживаются правила, в которых в качестве критериев для поиска аномалий в журналах событий Windows не указано одно или несколько значений параметра EventID.
Для Sigma-правил, описывающих операции с файлами, в отчете фиксируется первые 50 обнаружений. Счетчик обнаружений ведется отдельно для каждого процесса в случае, если процесс выполняет операции с файлами, у которых схожие пути.
Приложение поддерживает работу Sigma-правил на компьютерах под управлением Windows XP и Windows Server 2003 с ограничениями. Открытие деталей алерта, обнаруженных на компьютерах под управлением этих ОС, может завершиться с ошибкой Не удалось открыть детали алерта. Возможные причины: компьютер не в сети, проблемы с сетью, истек срок хранения алерта. Вы можете открыть детали алерта с помощью Kaspersky Industrial CyberSecurity for Networks.