Подключение собственного правила

Пользовательским правилам задавайте собственные имена. Изменения файлов, поставляемых с пакетом, сложнее сопровождать: обновление может заменить их новой версией. Начните с небольшой задачи, проверяйте правило на контрольной записи и только затем расширяйте область применения.

  1. Подготовьте Lua-файл с корректным EntryPoint для выбранной стадии.

  2. Разместите его в каталоге стадии с правами чтения служебного пользователя.

  3. Добавьте запись name, enabled и on_error в соответствующий массив workFlow.

  4. Проверьте JSON и примените изменение. Для перестановки существующих правил используйте restart sensor-analyser.

  5. Найдите запись о загрузке скрипта в analyser.log. Проверьте положительный и отрицательный контрольные примеры.

Для назначения доставки на стадии L3 используется event:transport_profile_add. Значение 1 (ACCEPT) разрешает дальнейшую обработку; 0 (DROP) завершает её, и событие не передаётся в sensor-transfer. Если несколько правил назначают профили, назначения накапливаются.

Settings = {
    Name = "l3-route-alertix",
    Description = "Назначение профиля доставки",
    EntryPoint = "AN-POSTFILTER",
    ScriptVersion = "1.0",
    PlatformVersion = "6.0"
}

function process(event)
    event:transport_profile_add("siem_syslog_cef")
    return 1
end

Пример назначает профиль всем событиям, дошедшим до этого правила; используйте его как основу для первичной проверки. Для рабочего отбора добавьте проверенное условие по полям нужного типа события. Убедитесь, что последующее правило, в том числе l3-dropall.lua, не отбрасывает результат. Не отключайте существующий отбор вслепую: сначала определите его назначение.

{ "name": "l3-route-alertix.lua", "enabled": true,
  "on_error": false }

Элемент добавляется в workFlow.postFilter, файл сохраняется как scripts/an-postfilter/l3-route-alertix.lua. Имя siem_syslog_cef должно точно совпадать с включённым транспортным профилем. Этот способ маршрутизации относится к обычным событиям конвейера; профили channel_name подписываются на заданный канал отдельно.