Обзор
Истории XOps преобразуют несметное количество необработанных событий безопасности и сети в удобоваримые, межфункциональные и действенные истории. Чтобы интегрировать истории XOps в ваши существующие рабочие процессы и увеличить видимость, вы можете экспортировать истории XOps в ваш SIEM. Cato поддерживает два типа интеграций с SIEM: CMA готовые интеграции, которые настраиваются на странице Интеграции, или интеграции, управляемые сторонним модулем.
Настройка историй XOps для экспорта в ваш SIEM
Чтобы экспортировать истории XOps в ваш SIEM, вам нужно:
Создайте правило Политики Реагирования, которое создает события для историй
Создайте интеграцию событий
Шаг 1: Создание правила Политики Реагирования
Политика Реагирования помогает вам отслеживать XOps истории, определяя, когда создаются действия уведомлений или события для этих историй. Для получения дополнительной информации обратитесь к Создание политики реагирования для XOps историй.
Тип события для историй XOps - Обнаружение и Реагирование.
Чтобы создать правило политики реагирования:
В меню навигации нажмите Домашняя > Политика Обнаружения и Реагирования.
Выберите вкладку Политика Реагирования.
Нажмите Новое. Открывается панель Добавить в Политику Реагирования.
Введите Имя для правила.
Выберите Источник событий, которые вы хотите экспортировать в ваш SIEM.
(необязательно) Определите Критерии, которые указывают на характеристики, которыми должна обладать история, чтобы соответствовать правилу.
Выберите Триггер для правила. Вы можете настроить, должна ли активация происходить при создании истории, обновлении или обоих случаях.
В разделе Реакция выберите Событие.
Нажмите Save. Правило добавлено к политике.
Шаг 2: Создание интеграции событий
Вы также можете интегрировать события для историй XOps с вашими существующими сторонними сервисами и рабочими процессами.
Для списка интеграций, поддерживаемых поставщиками для событий Cato, смотрите Третьи стороны, поддерживающие интеграции для данных Cato
Для готовой интеграции с вашим SIEM смотрите соответствующие статьи конфигурации. Поддерживаемые SIEM-и: