Kaspersky MLAD: Модуль Event Processor (EP)
1. ОписаниеНазначение задачидокумента
Данный документ предназначается для общего ознакомления с функционалом модуля Процессор События программного продукта Kaspersky MLAD позволяети пользователюего создаватьосновными деревоинструментами. активовПри этом данный документ не описывает детальную настройку Процессора Событий и процесс работы с событийными данными для своегорешения проектаконкретных как вручную через веб-интерфейс программы, так и автоматизировано путем ипорта файла активов.
Данный документ описывает процесс создания/изменения активов в Kaspersky MLAD при помощи Excel-таблиц.
Цель использования данного инструмента – ускорить и упростить процесс создания или изменения активов в Kaspersky MLADзадач.
Ниже приведена упрощенная схема подключения, используемая в описываемой в данном документе интеграции.
2. РеализацияKaspersky задачиMLAD - типы входных данных
Вне зависимости от того, какой тип коннектора или интерфейса вы используете для передачи данных в Kaspersky MLAD, в общем и целом, система предполагает работу с двумя принципиально разными типами входных данных
Во-первых, это непрерывные данные от промышленного оборудования (временные ряды). По сути, речь идет о текущих значениях технологических параметров, которые описывают работу промышленной установки, например, температура, вибрация, давление, расход и прочие. И именно с такими данными работает модуль выявления аномалий Kaspersky MLAD, включая обучение моделей и потоковый инференс. При этом речь не обязательно идет об аналоговых величинах – модуль выявления аномалий также поддерживает работу с дискретными сигналами (например, для разметки или диагностических правил).
Но в любом случае, речь выше идет о данных вида «метка времени» - «значение».
Что если вам необходимо выявлять аномалии не во временных рядах, но в потоке событий от одного или множества источников? Например, от POS-терминалов, банкоматов, потребителей электроэнергии, систем SIEM и так далее. Очевидно, что в данном случае мы имеем дело уже с другим типом данных, а именно с событийными данными. Такие данные помимо метки времени могут содержать (и обычно содержат) несколько дополнительных параметров и свойств. Например, событие от POS-терминала может содержать идентификатор события, ID терминала, номер транзакции, результат операции, дополнительный контекст и т.д.
Для работы с событийными данными и последовательностями событий в Kaspersky MLAD есть отдельный модуль, который называется Процессор Событий (Event Processor). Данный модуль входит в состав базовой поставки, но для его работы требуется отдельная лицензия.
3. Описание работы модуля EP
ПервымКак шагомбыло необходимоуказано выше, основным предназначением Процессора Событий является работа с событийными данными и последовательностями событий.
Очевидно, что для работы с типом данных, которые содержат большое количество важных полей и метаданных, не подходят классические нейронные сети, которые применяются в MLADмодуле перейтивыявления аномалий. Поэтому в МенюПроцессоре администратора,Событий затемиспользуется особый тип нейросетей, которые называются нейросемантические сети, а также продвинутые методы статистического анализа. Для их работы не требуется предварительное обучение или загрузка, скажем, всего перечня POS-терминалов из примера выше в Активысистему. Обучение происходит «на лету».
За кнопкуанализ Экспортировать Активысобытий и тегивыявление аномалий в файлсобытийных XLSXданных в Процессоре Событий отвечают так называемые Мониторы Данных. Тип используемого Монитора зависит от решаемой задачи. Основные типы уже включены в состав модуля..
БудетПредположим, скачанчто файлу mlad_structure.xlsx.нас Откройтеесть егопоток событий о действиях пользователей в системе, и мы хотим выявлять вход пользователей в систему с необычного для них хоста.
MSЕсли бы мы писали правила корреляции в SIEM для решения этой задачи, нам бы потребовалось где-то хранить и постоянно обновлять список ранее используемых хостов для каждого пользователя и каждый раз производить сверку с этим списком. Если количество пользователей исчисляется сотнями и тысячами, данная задача становится очень трудоемкой, если вообще разрешимой.
Excel. В появившемсяEP уведомлениидля нажмитерешения Да.подобных задач (задач выявления необычных или аномальных событий) существует базовый монитор.
Во вкладке directory_types отображаются существующие типы активов. Здесь же можно создать собственные типы активов. Описания полей можно увидеть, наведя мышку на название столбца. Ниже на скриншоте показан процесс добавления двух новых типов активов.
В поле directory_type укажите название нового типа активов. Поля parameter_label являются не обязательными для заполнения, в них выВы можете указать опциональные параметры, которые будут иметь все активы данного типа (например, год выпуска, или рабочее напряжение). В поле description можно задать краткое описаниенастроить для данного типамонитора активов.параметры Полеактивации directory_type_idпо нефакту заполняется вручную.
Во вкладке directories можно создать или изменить активы. Ниже на скриншоте показан процесс добавления двухвозникновения новых активовсобытий напо основеопределенному созданныхполю типов активов:события.
ВТеперь полекаждый раз, когда у нас будет прилетать новое событие с новым для нас значением поля directoryUserHost_type, мы будем получать срабатывание монитора.
При этом, некоторые задачи и некоторые мониторы требуют фильтрации параметров событий и фокуса на определенных параметрах процесса.
Предположим, перед нами стоит задача выявления необычной активности по событиям в разрезе времени суток. Для простоты, пусть это будет выявление активности пользователей некой доменной группы в необычное для них время.
Для решения подобного класса задач существует свой тип создаваемогомонитора:
При полеработе directory_type_rowданного укажите номер строки, который этот тип имеет во вкладке directory_typesмонитора (несмотряи большинства других) обычно требуется сфокусироваться на то,определенном чтопараметре события, например на доменной группе, в описанииразрезе столбцакоторой указаномы «мониторим активность, или на IP хостов, которые проявляют активность. Также может потребоваться отфильтровать не заполнять»).нужные Впараметры нашем случае это строки 9событий и 10.работать только с важными параметрами.
ВДля полеэтого в directoryEP_name существуют дополнительные сущности, которые называются Головы Внимания. Они позволяют задать предмет внимания, на котором будет фокусироваться монитор, и условия по отдельным параметрам события. укажите название нового актива.
В поле parent необходимо выбрать имя родителя. Если наш актив располагается в корне дерева, то родителя указывать не нужно. В противном случае просто скопируйте имя нужного актива из столбца directory_name. Если ваш актив находится глубже в структуре дерева, то необходимо здесь указать путь до родительского актива в формате «Родитель 1; Родитель 2; …; Непосредственный родитель». Если в выпадающем списке нужных родителей нет, удалите выпадающий список и заполните поле вручную.
В поле parent необходимо указать номер строки родителя из этой же вкладки (несмотря на то, что в описании столбца указано «не заполнять»). В примере выше, если родителем является Станция 1, то нужно указать его номер строки – 23.
Поля directory_id и parent_id вручную заполнять не нужно.
Во вкладке tags создаются новые или редактируются существующие теги. На скриншоте нижевыше показанмы примерсоздаем созданияновую трехголову новыхвнимания, теговкоторая (фокусируется на newIP_tag _1,адресе хоста и фильтрует события по вердикту системы контроля доступа. При этом в перечень обрабатываемых параметров события так же попадает newIP_tag _2,адрес узла назначения.
newДалее при создании Монитора мы указываем голову внимания, с которой он будет работать._tag_3).
ВПосле столбцеактивации tag_idмонитор необходимобудет продолжитьмониторить нумерациювходящий послепоток последнегособытий существующегои тегавыявлять аномалии по времени активности для всехкаждого новыххоста.
Большая часть мониторов (несмотряза наисключением то,разве что вмонитора, описаниивыявляющего столбцаэксфильтрацию указаноданных «непо заполнять»DNS). Нумерацияявляется неуниверсальной обязательнои должнаможет быть непрерывной,использована выдля можетерешения задаватьширокого спектра задач.
idК попримеру, своемуМонитор, усмотрению,выявляющий ностатистические уаномалии каждогоможет тегабыть использован для выявления майнеров в активахэлектрической MLADсети. должен быть свой уникальный id.
В поле tag_description указывается описание / проектное наименование тега, с которым он потом будет отображаться в инструментах MLAD.
В поле parent необходимо указать путь до родительского актива по тому же принципу, как мы уже сделали это во вкладке directories.
В поле parent_row укажите номер строки родительского актива во вкладке directories (несмотря на то, что в описании столбца указано «не заполнять»). В нашем случае это строки 24 и 25.
Поле parent_id вручную заполнять не нужно.
Остальные поля заполняются по желанию / необходимости.
После заполнения файла сохраните его и вернитесь в MLAD в раздел активов.
НажмитеДля кнопкуэтого Импортироватьмы активысоздаем голову внимания, которая фокусируется на потребителях и тегиизучает изданные файлаоб XLSXих электропотреблении.. В появившемся окне выберите ваш файл с активами для загрузки остальные настройки как показано на скриншоте ниже:
ПослеИ чегодалее нажмитесоздаем кнопкумонитор Сохранить.для Есливыявления импортстатистических прошел успешно, появится зеленая плашкааномалий с соответствующимиспользованием уведомлением,данной иголовы в вашем дереве активов появятся новые активы и теги.внимания
ДанныеПосле тегиактивации доступныданного длямонитора, использованияему вона всехвход инструментахможно подавать получасовые данные потребления ЭЭ по десяткам или даже сотням тысяч потребителей, и он будет выявлять сложные статистические аномалии в потреблении ЭЭ по каждому из них.
MLAD4. ,Заключение
Инструменты процессора событий позволяют решать предметные задачи, стоящие перед пользователями системы. Функционал Мониторов событий и голов внимания не ограничивает их применение определенным кругом задач, так что они могут использоваться в абсолютно разных сценариях. В дальнейшем перечень мониторов внимания будет расширяться, в том числе впод моделях,требования разметкахЗаказчиков.