Версионные правила выявления угроз
Преобразуйте нормализованную телеметрию в объяснимые и проверяемые алерты.
01
Операционная задача
Правило полезно, когда аналитик понимает данные и может воспроизвести причину срабатывания. Произвольные скрипты опасны, а непроверенное условие способно переполнить очередь. Правило должно быть связано с датасетом и версией парсера.
02
Как помогает Tranzify Watch
Detection Studio автоматически показывает актуальные датасеты и наличие активного парсера. Аналитик строит типизированные условия с AND/OR, сравнениями и RE2 или проверяет эквивалентный безопасный JSON DSL. До публикации правило тестируется на исторических событиях. Версии сохраняются, отключённые правила не обрабатывают новые события, а произвольный код не выполняется.