IKuznetsov: Новая страница: « = Концепции наблюдаемости угроз = Эта страница предоставляет обзор данных, доступных для сценариев использования безопасности, и объясняет, как работать с этими данными с помощью '''DQL'''. == Данные о безопасности == Данные, связанные с безопасностью, могу...»

2026-09-21T14:02:36Z

Новая страница: « = Концепции наблюдаемости угроз = Эта страница предоставляет обзор данных, доступных для сценариев использования безопасности, и объясняет, как работать с этими данными с помощью '''DQL'''. == Данные о безопасности == Данные, связанные с безопасностью, могу...»

Новая страница

= Концепции наблюдаемости угроз =
Эта страница предоставляет обзор данных, доступных для сценариев использования безопасности, и объясняет, как работать с этими данными с помощью '''DQL'''.

== Данные о безопасности ==
Данные, связанные с безопасностью, могут поступать из встроенных возможностей '''Ключ-АСТРОМ''' (через '''ЕдиныйАгент''' или '''АктивныйШлюз''') или из сторонних инструментов через приём логов или '''OpenPipeline'''. После приёма эти данные можно запрашивать, агрегировать, визуализировать и коррелировать с информацией наблюдаемости для поддержки широкого спектра сценариев безопасности.

Любые данные, которые вы принимаете, можно использовать для аналитики безопасности. Например, логи аутентификации, принятые для бизнес-целей, также можно использовать для обнаружения потенциальных атак методом перебора.

Примеры сценариев безопасности:

* Контекстно-зависимое реагирование на инциденты безопасности с помощью '''Автоматизаций Ключ-АСТРОМ''' и '''Tetragon'''
* Наблюдение за безопасностью SaaS с помощью '''AWS AppFabric''' и '''Ключ-АСТРОМ'''
* Обнаружение эксплуатации '''VMware Aria Operations for Logs''' с помощью '''Ключ-АСТРОМ''' и '''DQL'''
* Охота за угрозами на основе '''TTP''' с помощью '''Security Analytics''' и '''Falco Alerts''' в '''Ключ-АСТРОМ''' решает проблему шума оповещений
* Форензика логов: поиск вредоносной активности в мультиоблачных средах

== События безопасности ==
События безопасности — это ключевая категория данных, связанных с безопасностью. Они представляют события, значимые для безопасности, созданные '''Ключ-АСТРОМ''' или принятые из сторонних инструментов. Таблица <code>security.events</code> обеспечивает согласованный и эффективный способ хранения, изучения и анализа этих событий по всей вашей среде.

События безопасности включают:

* События уязвимостей
* События соответствия
* События обнаружения
* События отчётов об угрозах

=== Хранилище ===
События безопасности хранятся в выделенных бакетах в таблице <code>security.events</code>. Эта структура помогает различать события, созданные '''Ключ-АСТРОМ''', и события, поступающие из внешних источников:

* '''События безопасности, созданные Ключ-АСТРОМ''' — хранятся в <code>default_securityevents_builtin</code> в течение трёх лет.
* '''События безопасности, принятые извне''' — хранятся в <code>default_securityevents</code> в течение одного года.

Все необработанные полезные нагрузки сохраняются в <code>dt.raw_data</code>. Чтобы получить доступ к необработанным данным, используйте следующий запрос '''DQL''':<pre>
fetch security.events
| parse dt.raw_data, """JSON:dt.raw_data"""
| fields dt.raw_data
</pre>

=== Разрешения ===
Для запроса событий безопасности применяются следующие разрешения:

* <code>storage:security.events:read</code> — доступ на чтение к таблице <code>security.events</code>
* <code>storage:logs:read</code> — требуется при запросе принятых логов, используемых в качестве данных безопасности

Эти разрешения обеспечивают гранулярный контроль доступа к конфиденциальным данным безопасности.

=== Приём событий безопасности ===
События безопасности могут поступать из встроенных возможностей '''Ключ-АСТРОМ''' или из внешних инструментов безопасности и приниматься через '''OpenPipeline''' или приём логов.

'''Конечные точки приёма''' Используйте следующие конечные точки для отправки событий безопасности:

* '''Приём по умолчанию''': <code>/platform/ingest/v1/security.events</code>
* '''Пользовательские источники приёма''': <code>/platform/ingest/v1/security.events/<custom_ingest_source></code>

Процессоры '''Ключ-АСТРОМ''' и конфигурации '''OpenPipeline''' поддерживают эту область приёма из коробки.

'''Категории событий''' События безопасности группируются в бакеты по их происхождению. Это разделение помогает фильтровать и анализировать события в зависимости от того, были ли они созданы '''Ключ-АСТРОМ''' или приняты из сторонних инструментов.

* '''Встроенные события, созданные Ключ-АСТРОМ'''
* '''Внешние события, принятые из сторонних систем'''

Это разделение позволяет выполнять фильтрацию и анализ по источнику событий.

=== Запрос событий безопасности ===
Используйте таблицу <code>security.events</code> для всех запросов, связанных с событиями безопасности.

'''Базовый запрос:'''<pre>
fetch security.events
</pre>'''Фильтрация по событиям, созданным Ключ-АСТРОМ:'''<pre>
fetch security.events
| filter dt.system.bucket == "default_securityevents_builtin"
</pre>'''Фильтрация по внешне принятым событиям:'''<pre>
fetch security.events
| filter dt.system.bucket == "default_securityevents"
</pre>

== События уязвимостей ==
Используйте приложение '''Уязвимости''' для анализа, приоритизации и эффективного управления уязвимостями в ваших контролируемых средах.

События уязвимостей, созданные '''Ключ-АСТРОМ''', классифицируются по двум измерениям: уровень события (<code>event.level</code>) и группа события (<code>event.group_label</code>). Вместе они определяют тип события (<code>event.type</code>). Результаты уязвимостей и сканирования, принятые из сторонних источников, так не классифицируются.

=== Уровни событий ===
{| class="wikitable"
!Уровень события
!Описание
|-
|<code>VULNERABILITY</code>
|Уязвимость на глобальном уровне, включая общую информацию, глобальные статусы и изменения. Уникальный идентификатор — <code>vulnerability.id</code> или <code>vulnerability.display_id</code>.
|-
|<code>ENTITY</code>
|Уязвимая сущность с информацией об уязвимости, ограниченной этой сущностью. Уникальный идентификатор — кортеж (<code>affected_entity.id</code>, <code>vulnerability.id</code>).
|}

=== Группы событий ===
{| class="wikitable"
!Группа события
!Описание
|-
|<code>CHANGE_EVENT</code>
|Изменение, происходящее с уязвимостью или её затронутой сущностью.
|-
|<code>STATE_REPORT</code>
|Полное историческое состояние уязвимости или её затронутой сущности; сообщается периодически с течением времени: уязвимости в состоянии '''OPEN''' (заглушённые и не заглушённые) сообщаются каждые 15 минут; уязвимости в состоянии '''RESOLVED''' сообщаются только один раз (когда открытые уязвимости разрешаются). Для анализа разрешённых уязвимостей отфильтруйте нужный временной диапазон.
|}

=== Типы событий ===
Каждое событие уязвимости, созданное '''Ключ-АСТРОМ''', сочетает уровень события с группой события:
{| class="wikitable"
!Уровень события
!<code>STATE_REPORT</code>
!<code>CHANGE_EVENT</code>
|-
|<code>VULNERABILITY</code>
|<code>VULNERABILITY_STATE_REPORT_EVENT</code>
|<code>VULNERABILITY_STATUS_CHANGE_EVENT</code>, <code>VULNERABILITY_ASSESSMENT_CHANGE_EVENT</code>
|-
|<code>ENTITY</code>
|<code>VULNERABILITY_STATE_REPORT_EVENT</code>
|<code>VULNERABILITY_STATUS_CHANGE_EVENT</code>
|}
События <code>VULNERABILITY_FINDING</code> и <code>VULNERABILITY_SCAN</code> принимаются из сторонних источников и не содержат <code>event.level</code> или <code>event.group_label</code>.

Следующая таблица описывает все типы событий уязвимостей:
{| class="wikitable"
!Типы событий
!Описание
|-
|<code>VULNERABILITY_STATE_REPORT_EVENT</code>
|Исторические состояния уязвимостей, сообщаемые периодически.
|-
|<code>VULNERABILITY_COVERAGE_REPORT_EVENT</code>
|Исторические события покрытия, сообщаемые периодически.
|-
|<code>VULNERABILITY_STATUS_CHANGE_EVENT</code>
|Изменения статуса уязвимости, сообщаемые при изменении. Включают статусы разрешения и заглушения.
|-
|<code>VULNERABILITY_ASSESSMENT_CHANGE_EVENT</code>
|Изменения оценки уязвимости, сообщаемые при изменении. Включают '''astromkey Security Score''' и '''astromkey Assessment'''.
|-
|<code>VULNERABILITY_FINDING</code>1
|Единичная уязвимость, выявленная в конкретном процессе в заданный момент времени.
|-
|<code>VULNERABILITY_SCAN</code>1
|Анализ обнаруженных пакетов в конкретном процессе в заданный момент времени.
|}
1 Этот тип события может быть принят как из сторонних инструментов безопасности, так и из сторонних библиотек, используемых процессами, контролируемыми '''Ключ-АСТРОМ'''.

=== Результаты уязвимостей ===
Используйте приложение '''Уязвимости''' для анализа, приоритизации и эффективного управления результатами в ваших контролируемых средах.

'''Результат уязвимости''' — это событие безопасности, которое указывает на обнаруженную слабость в системе, программном компоненте или среде. Он представляет единичный случай недостатка или неправильной конфигурации, которые могут быть использованы.

Каждый результат сохраняется как отдельное событие в момент его обнаружения. Эти записи могут поступать из внешних источников, таких как сторонние сканеры или библиотеки, используемые процессами, контролируемыми '''Ключ-АСТРОМ'''. '''Ключ-АСТРОМ''' принимает и сохраняет эти события как необработанные данные, но не выполняет дополнительный анализ (например, '''astromkey Security Score''' не рассчитывается).

Результаты содержат степень серьёзности и уровень риска, затронутый компонент и статус его исправления, метаданные, такие как временные метки и информация об источнике, и технические атрибуты, такие как оценки '''CVSS''' и ссылки на '''CVE'''.

== События соответствия ==
Используйте приложение '''xSPM Security Posture Management''' для обнаружения, управления и принятия мер по результатам соответствия.

'''Событие соответствия''' — это тип события безопасности, специфичный для возможности '''Управления состоянием безопасности'''. Оно представляет оценку ресурса в контексте правила, указанного в стандарте соответствия.
{| class="wikitable"
!Типы событий
!Описание
|-
|<code>COMPLIANCE_SCAN_COMPLETED</code>
|Событие завершения сканирования соответствия создаётся, когда сканирование набора данных конфигурации по правилам соответствия завершено.
|-
|<code>COMPLIANCE_FINDING</code>
|Событие результата соответствия создаётся, когда объект оценивается по правилу соответствия во время сканирования. Событие содержит результаты этой оценки и статус соответствия данного объекта.
|}

== События обнаружения ==
Событие результата обнаружения создаётся, когда вокруг объекта наблюдается подозрительная активность. Событие содержит всю информацию, доступную и признанную полезной на момент обнаружения.

Используйте приложение '''Угрозы и эксплойты''' для оценки, сортировки и расследования результатов обнаружения.
{| class="wikitable"
!Типы событий
!Описание
|-
|<code>DETECTION_FINDING</code>
|Оповещение или обнаружение, созданное инструментами безопасности с использованием алгоритмов корреляции, правил обнаружения или других аналитических методов.
|}
Чтобы получить события результата обнаружения, используйте запрос, подобный следующему:<pre>
fetch security.events
| filter event.kind == "SECURITY_EVENT" AND event.type == "DETECTION_FINDING"
| filter product.name == "Runtime Application Protection"
| makeTimeseries count()
</pre>

== События отчётов об угрозах ==
Событие отчёта об угрозе создаётся, когда открытая аналитика угроз, такая как pulse или индикатор компрометации ('''IP'''-адрес, домен, '''URL''' или хеш файла), принимается из внешнего источника аналитики угроз.
{| class="wikitable"
!Типы событий
!Описание
|-
|<code>THREAT_REPORT</code>
|Оповещения и отчёты аналитики угроз, а также связанные с ними индикаторы компрометации, принятые из внешнего источника аналитики угроз.
|}
Чтобы получить события отчётов об угрозах, используйте запрос, подобный следующему:<pre>
fetch security.events
| filter event.type == "THREAT_REPORT"
</pre>

== Обогащение ==
Обогащение — это процесс добавления внешнего контекста к наблюдаемым объектам, таким как '''IP'''-адреса, с использованием источников аналитики угроз. Это помогает:

* Быстрее проверять обнаружения
* Приоритизировать расследования
* Понимать намерение или репутацию, связанные с наблюдаемым объектом

Обогащение не создаёт новые события безопасности. Вместо этого оно улучшает существующие данные, добавляя такие атрибуты, как:

* Показатели репутации и риска
* Геолокация и владелец сети
* Классификации угроз и уровни достоверности
* Метаданные, специфичные для поставщика

С помощью '''Security Enrichment''' вы можете подключать внешние API аналитики угроз, нормализовать их ответы и добавлять контекстные данные к вашим наблюдаемым объектам. Результаты обогащения доступны в разделах '''Investigations''', '''Угрозы и эксплойты''' и '''Workflows''', где они поддерживают более быструю проверку, сортировку и автоматизацию.

== Интеграция с OpenPipeline ==
С помощью '''OpenPipeline''' вы можете принимать внешние события безопасности из множества сторонних продуктов и операционализировать ваши данные на платформе '''Ключ-АСТРОМ'''.

=== Готовые интеграции ===
'''Ключ-АСТРОМ''' предоставляет бесшовные варианты интеграции '''OpenPipeline''' для конкретных технологий. Принятые данные автоматически сохраняются и отображаются в унифицированный формат '''Семантического словаря Ключ-АСТРОМ'''. Мы предоставляем готовые дашборды и рабочие процессы, чтобы помочь вам визуализировать данные и автоматизировать уведомления.

=== Поддержка пользовательского приёма ===
Вы можете использовать нашу встроенную конечную точку API событий безопасности или создать пользовательскую конечную точку API для приёма любых событий безопасности из любой сторонней системы. Вы можете настроить конвейер для ручного сопоставления ваших данных с соглашениями '''Семантического словаря'''. Как только ваши события будут соответствовать '''Семантическому словарю''', вы сможете использовать дашборды и рабочие процессы, предоставляемые другими интеграциями, для просмотра, анализа и автоматизации этих результатов вместе с существующими данными безопасности.

== Нормализация серьёзности и оценки ==
Когда результаты принимаются из разных источников уязвимостей, '''Ключ-АСТРОМ''' различает значения, сообщаемые поставщиком, и нормализованные значения, используемые на всей платформе. Нормализация гарантирует, что все результаты можно согласованно сравнивать и приоритизировать, независимо от их происхождения.

* '''Принятая серьёзность''': уровень серьёзности, сообщённый исходным поставщиком или сканером. Уровень серьёзности хранится в поле <code>finding.severity</code>.
* '''Нормализованная серьёзность''': серьёзность, сопоставленная с единой шкалой риска '''Ключ-АСТРОМ''' (<code>dt.security.risk.level</code>) для обеспечения согласованности между продуктами.
* '''Принятая оценка риска''': оценка риска, определённая поставщиком (например, '''astromkey Security Score'''). Если она предоставлена исходным инструментом, принятая оценка риска хранится в поле <code>finding.score</code>.
* '''Нормализованная оценка риска''': оценка риска, преобразованная в единую шкалу '''Ключ-АСТРОМ''' (<code>dt.security.risk.score</code>), чтобы вы могли согласованно сравнивать уязвимости между собой.

Каждый результат также указывает продукт (<code>product.name</code> и <code>product.vendor</code>), который его обнаружил (например, '''Runtime Vulnerability Analytics'''), чтобы вы могли определить источник данных.

Концепции наблюдаемости угроз - История изменений