Guía de administración › Correlación de eventos y gestión de incidentes › Tareas de regla de correlación › Acerca de las reglas de correlación

Acerca de las reglas de correlación

Es posible aplicar reglas de correlación predefinidas, utilizar el asistente de reglas de correlación para crear reglas de correlación personalizadas para el entorno o modificar reglas existentes. Las reglas de correlación le permiten identificar grupos de eventos que pueden indicar ataques u otros riesgos de seguridad. Debe poseer el rol de Administrador para crear o editar reglas de correlación.

Cuando crea una regla de correlación, debe seleccionar cuál de los tres tipos desea crear. La plantilla de regla controla qué evento o eventos se consideran un incidente. Están disponibles las siguientes plantillas:

• Filtro sencillo: le permite buscar un solo evento o estado. Esta plantilla crea un incidente a partir de un solo evento.
• Plantilla de recuento: le permite buscar un conjunto de eventos idénticos. Se puede controlar el número de eventos del mismo tipo que debe buscar la regla. Cada vez que la regla detecta el número de eventos establecido, esta activa un incidente.
• Plantilla de transición de estado: le permite buscar una serie de eventos relacionados. Cuando se produce un evento o estado específico, seguido de otros eventos o estados, la regla crea un incidente. Puede definir los estados que la regla deba buscar y establecer el número de estados.

Nota: Para lograr una correlación efectiva, es necesario disponer de una vista completa de los eventos entrantes. Por esta razón se debería valorar la posibilidad de evitar aplicar reglas de supresión o de resumen al nivel del agente. Los eventos que se supriman o se resuman al nivel del agente no se tienen en cuenta para la correlación ni para la creación de incidentes.

La correlación de eventos puede dar lugar a tráfico de red significativo. Por esta razón, se puede valorar la posibilidad de asignar un servidor de correlación dedicado. Si desea obtener más información sobre los roles de servidor, puede consultar la Guía de implementación de CA Enterprise Log Manager.

En caso de que haya más mensajes de incidente de los que el servicio de correlación pueda procesar, éste servicio mantiene una cola de hasta 10.000 mensajes. El resto de mensajes se perderán. CA Enterprise Log Manager generará un evento autocontrolado si esto sucede.

Más información:

Acerca de las notificaciones de incidentes