Схемы активных списков

data_source:
- <platform> # Платформа или информационная система
- <source> # Источник событий.
# События (EventId) или путь к журналу событий:
- <EventID_1>
- <EventID_2>

# Уникальный идентификатор схемы активного списка, необходим для ее идентификации.
id: unique_identifier/active_list_name

# Название схемы активного списка.
name: ActiveListName

# Версия схемы активного списка.
version: 1.0.0

# Описание схемы активного списка, его назначение и функциональность.
description: Описание схемы активного списка

# Тип элемента экспертизы. Всегда должно быть 'active_list' для элементов такого типа.
type: active_list

# Информация об авторе схемы активного списка.
author: Имя Автора <email@example.com>

# Список совместимых с правилом источников данных.
data_source:
  - platform: Windows
  - source: Sysmon
  - events:
    - EventID_3
    - EventID_22

# Теги для улучшения поиска схемы в системе.
tags:
  - tag1
  - tag2

# Максимальное количество значений в схеме списка. При переполнении удаляется самое старое значение.
capacity: 10000

# Ключевые поля схемы активного списка должны быть уникальными.
key:
  - field1
  - field2

# Схема элементов в активном списке. Поддерживает типы: 'string', 'bool', 'float', 'integer', 'timestamp'.
schema:
  field1: string
  field2: bool
  field3: float
  field4: integer
  field5: timestamp

# Время жизни значения внутри активного списка, в секундах. По истечении этого времени значение будет автоматически удалено из списка.
ttl: 0

# Пример содержимого, соответствующего схеме.
content:
  - field1: "value1"
  - field2: true
  - field3: 1.23
  - field4: 123
  - field5: "2023-01-01T12:00:00Z"

on_correlation: !vrl |
  if .threat_level == "High" {
    add_active_record("suspicious_ips", .source_ip, true)
  }

  if .event_type == "authentication_failure" {
    let failure_count = get_active_record("auth_failure_counts", .user_id) || 0
    add_active_record("auth_failure_counts", .user_id, failure_count + 1)
  }

  if .event_type == "authentication_success" {
    remove_active_record("auth_failure_counts", .user_id)
  }

# Уникальный идентификатор списка.
id: threat_intel/ddos_attack_ips

# Название активного списка, которое обозначает его цель или функцию.
name: DDoSAttackIPs

# Версия активного списка, представленная в формате SemVer (Semantic Versioning).
version: 1.0.0

# Описание активного списка, где можно указать дополнительную информацию о его назначении и функциональности.
description: Список IP-адресов, обнаруженных как участники в DDoS-атаках, для мониторинга и предотвращения потенциальных угроз.

# Тип элемента экспертизы.
type: active_list

# Имя и контактные данные автора активного списка.
author: John Doe <johndoe@example.com>

# Список совместимых с правилом источников данных.
data_source:
  - platform: Windows
  - source: Sysmon
  - events:
    - EventID_3
    - EventID_22

# Теги, связанные с активным списком.
tags:
  - ddos
  - threat intelligence
  - blacklist

# Максимальное количество записей в активном списке. Опционально, по умолчанию 100000.
capacity: 10000

# Время жизни записи активного списка в секундах. Опционально, если не указан, то хранится бессрочно.
ttl: 0

# Схема описывает поля активного списка.
schema:
  ip: string                # IP-адрес.
  last_detected: timestamp  # Метка времени последнего обнаружения.
  attack_type: string       # Тип атаки.
  reputation_score: integer # Оценка репутации IP-адреса.
  attack_volume: string     # Объем атаки.
  involved_attacks: integer # Количество атак.
  notes: string             # Примечания.

# Перечень полей, которые являются ключом
key:
  - ip

# Содержимое активного списка
content:
  - ip: "192.0.2.1"
    last_detected: "2023-01-01T12:00:00Z"
    attack_type: "SYN Flood"
    reputation_score: 10
    attack_volume: "1.5 Gbps"
    involved_attacks: 5
    notes: "Repeated attacks on multiple targets"
  - ip: "192.0.2.2"
    last_detected: "2023-01-02T15:30:00Z"
    attack_type: "UDP Flood"
    reputation_score: 20
    attack_volume: "500 Mbps"
    involved_attacks: 2
    notes: "High packet rate observed"
  - ip: "192.0.2.3"
    last_detected: "2023-01-03T18:45:00Z"
    attack_type: "Amplification"
    reputation_score: 15
    attack_volume: "2 Gbps"
    involved_attacks: 3
    notes: "DNS amplification attack"
  - ip: "192.0.2.4"
    last_detected: "2023-01-04T20:00:00Z"
    attack_type: "HTTP Flood"
    reputation_score: 5
    attack_volume: "750 Mbps"
    involved_attacks: 4
    notes: "Targeted at web services"