Описанный ниже сценарий применим для версии **CyberTrace 4.4** и выше. Ресурсы, поставляемые для данного сценария в **KUMA** применимы к версии **3.2** и выше, но могут быть сделаны аналогичные для версий **2.1+**.
В данном сценарии рассматривается автоматизация ретроспективной проверки по IoC с использованием интеграции KUMA и CyberTrace. Сценарий позволяет: 1\. По расписанию выполнять ретроспективную проверку на стороне CyberTrace 2\. Получать событие в KUMA по результатам ретроспективной проверки 3\. Создавать коррреляционное событие и алерт на основании такого события, а также добавлять в корреляционное событие кликабельную ссылку на исходное событие, на которое сработал ретроскан. --- ### Настройка CyberTrace Подключитесь к CyberTrace от имени пользователя с правами администратора. #### Настройка получения и отправки событий Перейдите в раздел **Settings** - **General.** В графе **Incoming events** выберите **IP address and port**, в поле **IP address** укажие адрес CyberTrace, на котором он будет принимать индикаторы от KUMA (запись **0.0.0.0** означает, что CyberTrace будет принимать соединения на всех адресах), а в поле **Port** задайте порт, на котором CyberTrace будет принимать индикаторы. В графе **Detection alerts** в поле **IP address** укажите адрес коллектора KUMA, а в графе **Port** - порт коллектора KUMA. По завершении настройки нажмите кнопку **Save** внизу экрана.  --- #### Настройка ретроспективной проверки Перейдите в раздел **Settings - Restroscan** Включите ретроскан ползунком **Enabled**. На вкладка **General settings** задайте необходимые настройки регулярности ретроспективной проверки и другие параметры.  Находясь в том же разделе, перейдите на вкладку **Feeds** и включите необходимые фиды для ретроспективной проверки.  Находясь в том же разделе, перейдите на вкладку **Regular expressions** и выберите **RE\_CONTEXT** (обязательно в данном сценарии), а также те индикаторы, по которым планируется ретроспективная проверка.  По окончании настройки нажмите кнопку **Save**. --- #### Настройка формата событий Перейдите в раздел **Settings - Detection alerts** Заполните **Alert format**, как показано в примере. ``` Category=%Category%|MatchedIndicator=%MatchedIndicator%%RecordContext%|KUMA_event_id=%RE_CONTEXT%|KUMA_event_date=%EventReceivedDate%|outcome=%Retroscan% ```  Выберите вверху **Context** и заполните **Actionable fields**, как в примере ниже. ``` "%ParamName%":"%ParamValue%" ```  Пролистайте в самый низ страницы и нажмите кнопку **Save**. Настройки для **Service alerts** можете оставить по умолчанию или изменить по своему усмотрению. В данном сценарии рассматривается и требуется взаимодействие только с **Detection alerts**. --- ### Настройка KUMA 1\. Скачайте набор ресурсов (нормализатор и правило корреляции) по [**ссылке**](https://github.com/koalapower/ioc_retroscan) и импортируйте в KUMA. #### Настройка обогащения**Важно!** Обогащение должно выполняться именно методом **cybertrace**. Метод **cybertarce-http** не применим в данном случае, т.к. в CyberTrace до 5.0 версии включительно обогащение по API не доступно для ретроспективной проверки и отображения в детектах.
1\. Настройте обогащение на коллекторах, где это требуется по инструкции из соответствующего [**раздела**](https://kb.kuma-community.ru/books/integracii/page/integraciia-cybertrace-s-kuma#bkmrk-%D0%9E%D0%B1%D0%BE%D0%B3%D0%B0%D1%89%D0%B5%D0%BD%D0%B8%D0%B5-cybertrac-1). --- #### Настройка коллектора 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне **CyberTrace**.  2\. На шаге **Парсинг** событий выберите нормализатор **\[DEMO\] CyberTrace**. 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: **- Хранилище**. Для отправки обработанных событий в хранилище. **- Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- Настройка корреляции 1\. Откройте на редактирование правило корреляции **D016;CyberTrace;IoC Matched By Retroscan** (или **D016;CyberTrace;Обнаружение IoC в ходе ретроспективной проверки**) 2\. Перейдите в Селекторы - Локальные переменные 3\. Отредактируйте значение переменной **core** подставив свой FQDN или IP-адрес ядраВажно! FQDN для данного сценария не должен превышать 18 символов! В случае более длинного FQDN следует использовать IP-адрес.