Модель данных алерта

В этом разделе описана модель данных алерта KUMA. Алерты создаются корреляторами при выявлении с помощью правил корреляции угроз безопасности информации. Алерты необходимо расследовать для устранения этих угроз.

Поле алерта

Тип данных

Описание

ID

Строка

Уникальный идентификатор алерта.

TenantID

Строка

Идентификатор тенанта, которому принадлежит алерт. Значение наследуется от коррелятора, создавшего алерт.

TenantName

Строка

Название тенанта.

CorrelationRuleID

Строка

Идентификатор правила, на основании которого был создан алерт.

CorrelationRuleName

Строка

Название правила корреляции, на основании которого был создан алерт.

Status

Строка

Статус алерта. Возможные значения:

  • New – новый алерт.
  • Assigned – алерт назначен пользователю.
  • Closed – алерт закрыт.
  • Exported to IRP – алерт выгружен IRP-систему для дальнейшего расследования.
  • Escalated – на основе алерта создан инцидент.

Priority

Число

Уровень важности алерта. Возможные значения:

  • 1–4 – Низкий.
  • 5–8 – Средний.
  • 9–12 – Высокий.
  • 13–16 – Критический.

ManualPriority

Строка TRUE/FALSE

Параметр, показывающий, как был определен уровень важности алерта. Возможные значения:

  • true – задан пользователем.
  • false (значение по умолчанию) – рассчитан автоматически.

FirstSeen

Число

Время создания первого корреляционного события из алерта.

LastSeen

Число

Время создания последнего корреляционного события из алерта.

UpdatedAt           

Число

Дата последнего изменения параметров алерта.

UserID               

Строка

Идентификатор пользователя KUMA, которому алерт назначен на рассмотрение.

UserName 

Строка

Имя пользователя KUMA, которому алерт назначен на рассмотрение.
 

GroupedBy

Вложенный список строк

Перечень полей событий, по которым группировались событий в правиле корреляции.

ClosingReason

Строка

Причина закрытия алерта. Возможные значения:

  • Incorrect Correlation Rule – алерт был ложным, а полученные события не указывают на угрозу безопасности. Возможно, требуется коррекция правила корреляции.
  • Incorrect Data – алерт был ложным, а полученные события не указывают на угрозу безопасности.
  • Responded – были приняты необходимые меры по устранению угрозы безопасности.

Overflow             

Строка TRUE/FALSE

Признак, обозначающий что алерт переполнен, то есть размер алерта и привязанных к нему событий превышает 16 МБ. Возможные значения:

  • true
  • false

MaxAssetsWeightStr   

Строка

Максимальный уровень важности категорий активов, связанных с алертом.

IntegrationID

Строка

Идентификатор алерта в программе IRP / SOAR, если в KUMA настроена интеграция с такой программой.

ExternalReference

Строка

Ссылка на раздел в программе IRP / SOAR, в котором отображаются сведения об импортированном из KUMA алерте.

IncidentID 

Строка

Идентификатор инцидента, к которому привязан алерт.

IncidentName

Строка

Название инцидента, к которому привязан алерт.

SegmentationRuleName

Строка

Название правила сегментации, по которому корреляционные события сгруппированы в алерте.

BranchID      

Строка

Идентификатор ветви иерархии, в которой был создан алерт. Указывается при иерархическом развертывании KUMA.

BranchName  

Строка

Название ветви иерархии, в которой был создан алерт. Указывается при иерархическом развертывании KUMA.

Actions

Вложенная структура [Action]

Вложенная структура со строками, в которых указаны изменения статусов и назначений алерта, пользовательские комментарии.

Events

Вложенная структура [EventWrapper]

Вложенная структура, из которой можно обратиться к связанным с алертом корреляционным событиям.

Assets

Вложенная структура [Asset]

Вложенная структура, из которой можно обратиться к связанным с алертом активам.

Accounts

Вложенная структура [Account]

Вложенная структура, из которой можно обратиться к связанным с алертом учетным записям.

AffectedAssets

Вложенная структура [Affected]

Вложенная структура, из которой можно обратиться к связанным с алертам активам и учетным записям, а также узнать, сколько раз они фигурируют в событиях алерта.

Вложенная структура Affected

Поле

Тип данных

Описание

Assets

Вложенный список [AffectedRecord]

Перечень и количество связанных с алертом активов.

Accounts

Вложенный список [AffectedRecord]

Перечень и количество связанных с алертом учетных записей.

Вложенная структура AffectedRecord

Поле

Тип данных

Описание

Value

Строка

Идентификатор актива или учетной записи.

Count

Число

Количество раз актив или учетная запись фигурирует в связанных с алертом событиях.

Вложенная структура EventWrapper

Поле

Тип данных

Описание

Event

Вложенная структура [Event]

Поля события.

Comment

Строка

Комментарий, добавленный при добавлении событий к алерту.

LinkedAt

Число

Дата добавления событий к алерту.

Вложенная структура Action

Поле

Тип данных

Описание

CreatedAt

Число

Дата, когда действие над алертом было произведено.

UserID

Строка

Идентификатор пользователя.

Kind

Строка

Тип действия.

Value

Строка

Значение.

Event

Вложенная структура [Event]

Поля события.

ClusterID

Строка

Идентификатор кластера.

В начало