关联引擎

目标

在事件关联与分析方面，您可采用多种不同方法。安全数据湖关联引擎的设计基于以下核心方法：

建立事件关联规则的第一步是新建事件定义。需注意，事件关联的本质是构建一系列按特定顺序排列的事件定义，当所有条件满足时即触发告警。例如要创建检测暴力破解攻击的关联规则，就需要先定义暴力破解攻击事件。

事件、事件定义和告警的详细说明请参阅事件定义页面。建议先完整阅读该文档，因本文内容基于这些基础概念展开。

事件关联规则主要围绕事件定义中的关键字段构建。将特定字段设为核心字段，实质是按该字段对事件进行分组。安全数据湖会根据发现的唯一键值生成对应数量的事件。例如若将 user_name 字段设为核心字段，则每个触发告警的用户名都会生成独立事件。

本例中，我们将围绕 user_name 字段构建事件关联规则。

选定关键字段后，我们需要构建实际用于定义事件的关联序列。

此更改将触发相应的关联菜单，允许您指定构成事件关联的规则。

通过该菜单可设置关联规则以触发警报。

在这些菜单中，您将选择共同决定事件关联的单个事件定义。以前述暴力攻击事件为例，您可能需要选择登录失败尝试和登录成功尝试作为需要关联逻辑的具体事件；请注意这些是独立的事件定义，需事先按照创建事件定义 .

除前述字段外，第二个及后续事件需您判断该事件是否应满足以下条件：

可通过点击 添加事件 .

选择菜单右侧将生成事件关联流程图，便于查看触发整体关联事件所需发生的实际事件序列。

您可能需要设置某种告警机制来通知事件关联的发生。有关创建各类事件告警的详细说明，请参阅告警文章。

通过配置安全数据湖关联引擎，可支持多种参数和序列下的不同关联事件。如需更详细的应用场景示例，我们推荐关联引擎演示，该演示可在安全数据湖官网上查看。