Для повышения эффективности анализирования событий безопасности, оперативного выявления аномалий, поступающих от нод WAF, мы рекомендуем подготавливать виджет для дашборда PT MaxPatrol SIEM.

Инструкция по созданию дашборда:

№ шага Описание Скриншот
1

Перейдите в раздел «События»:
Откройте веб-интерфейс MaxPatrol SIEM и перейдите в раздел "События". В данном разделе представлена лента всех поступающих логов, которые уже были нормализованы. Именно отсюда формируются фильтры и группировки, которые затем можно преобразовать в виджет.
Раздел «События» MaxPatrol SIEM: панель фильтров и группировок
2

Добавление фильтра для WAF:

В панели фильтрации укажите условие:

object.type AND event_src.vendor = "Check-risk"

Данное условие позволит отобразить только события, поступающие от Check Risk WAF, и исключит лишние записи. Таким образом, Вы получите выборку исключительно по интересующим объектам.
Фильтр событий Check Risk WAF: object.type AND event_src.vendor = "Check-risk"
3

Создание группировки по полю object.type
Для наглядного отображения данных примените группировку по полю object.type.

Данный параметр позволит классифицировать события по их типу, что обеспечит более удобный анализ при построении визуализации.
Группировка событий по полю object.type и агрегация COUNT
4

Нажмите на кнопку "Посмотреть виджет".
Кнопка «Посмотреть виджет»
5

Добавление виджета на дашборд:
На главной странице перейдите к разделу "Дашборды". Вы можете либо создать новый дашборд (нажав на плюсик), либо открыть существующий, где доступно место для размещения нового элемента.

Нажмите на кнопку Добавить виджет, после чего выберите ранее созданный виджет со сработками правил WAF. Подтвердите добавление.
Добавление виджета из библиотеки на дашборд MaxPatrol SIEM
 

Если на дашборде появился виджет с данными по сработкам правил Check Risk WAF, значит, все действия выполнены правильно, и система корректно визуализирует события.
Виджет на дашборде MaxPatrol SIEM с данными по сработкам правил Check Risk WAF

Примечание: корректно настроенный дашборд с подобными виджетами повышает эффективность мониторинга, ускоряет обнаружение инцидентов и обеспечивает прозрачность работы систем защиты.