Фильтр

Фильтры сигналов определяют, как группировать сигналы и когда их отсрочивать (snooze).

примечание

Чтобы создать фильтр сигналов, сначала определите типы сущностей, по которым сигналы будут дедуплицироваться или отсрочиваться.

Фильтр отсрочки

Фильтры отсрочки (Snooze Filter) используют сущности, извлечённые из сигналов, чтобы определить, когда сигнал нужно отсрочить. Это полезно, когда на некоторое время ожидается наплыв сигналов (например, из-за плановых административных работ) и вы хотите временно остановить создание кейсов. Даже отсроченный сигнал всё равно обрабатывается, а связанные с ним сущности создаются.

Например, можно создать Snooze Filter, который отсрочит все входящие сигналы с определённым хешем JA3.

к сведению

Можно также создать Snooze Filter без указания сущностей — тогда он отсрочит все входящие сигналы, подходящие под этот фильтр.

Создание фильтра отсрочки

Чтобы создать фильтр отсрочки, выполните следующие шаги:

1. Откройте страницу редактирования определения сигнала.
2. Нажмите значок «+» рядом с выпадающим списком «Фильтры сигналов».
3. Выберите переключатель Snooze на вкладке BASIC.

Фильтр дедупликации

Чтобы сигналы дедуплицировались, нужно создать фильтр дедупликации. Фильтры дедупликации используют извлечённые типы сущностей сигнала и скользящее временное окно, чтобы решить, помечать ли сигнал как дубликат. Если совпадение найдено, текущий сигнал помечается как дубликат и привязывается к уже существующему кейсу.

к сведению

По умолчанию все сигналы дедуплицируются в окне в один час, если не задан свой фильтр дедупликации.

Создание фильтра дедупликации

Чтобы создать фильтр дедупликации, выполните следующие шаги:

1. Откройте страницу редактирования определения сигнала.
2. Нажмите значок «+» рядом с выпадающим списком «Фильтры сигналов».
3. Выберите переключатель Deduplication на вкладке BASIC.