---
# System prepended metadata

title: Нормализация событий
tags: [PT 2nd stage]

---

# Нормализация событий
###### tags: `PT 2nd stage`
## Событие входа пользователя по SSH
импортируем события в SIEM
![](https://i.imgur.com/eDS0hgf.png)

создаём текстовый шаблон
![](https://i.imgur.com/swEfYoz.png)

вставляем событие
![](https://i.imgur.com/I2lp31A.png)

На место даты вставляем токен даты и присваиваем значение переменной time
![](https://i.imgur.com/GBZtoKw.png)

вместо первого числа вставим числовой шаблон (на всякий случай, вдруг пригодится)
![](https://i.imgur.com/d1JjCJJ.png)

указываем subject account name
![](https://i.imgur.com/MPH4IwA.png)


указываем протокол
![](https://i.imgur.com/KIgAxZ9.png)

указываем идентификатор события
![](https://i.imgur.com/bm2bPHm.png)


указываем необязательный блок с форвардером
![](https://i.imgur.com/xcBssTw.png)


указываем object account name
![](https://i.imgur.com/fs4e4mA.png)



Форма отработала для двух событий без ошибок
![](https://i.imgur.com/mwxQPgn.png)

Добавим информацию о вендоре
![](https://i.imgur.com/l7HPcHX.png)

парсим статус действия
![](https://i.imgur.com/huEmwKL.png)

### ИТОГО:
![](https://i.imgur.com/akJONbq.png)

### Метаданные
![](https://i.imgur.com/xti7APq.png)




## Событие чтения конфигурационного файла операционной системы:

![](https://i.imgur.com/fVvensV.png)

парсим время
![](https://i.imgur.com/rQKDXxA.png)

парсим имя источника
![](https://i.imgur.com/JlIA6nS.png)

парсим msgid события
![](https://i.imgur.com/JllElVJ.png)


парсим имя пользователя
![](https://i.imgur.com/NSY7MuE.png)


парсим показатель успешности действия
![](https://i.imgur.com/L6RbmQ8.png)




прасим имя команды
![](https://i.imgur.com/Z63VUDF.png)

указываем субъект, объект и действие.
пользователь, файл и чтение соответственно.
![](https://i.imgur.com/DQq89Ym.png)

парсим полный путь до файла
![](https://i.imgur.com/ECcojOS.png)

id
![](https://i.imgur.com/TWjBBfe.png)


### ИТОГО:
![](https://i.imgur.com/YZnCG4S.png)

### Метаданные
![](https://i.imgur.com/xbzkAeP.png)

## Собираем сценарий
![](https://i.imgur.com/M8q6NeU.png)

запускаем
не запускается
![](https://i.imgur.com/IlWGIoe.png)


# корреляция
![](https://i.imgur.com/OE7fE1L.png)

```
event passwords_snatched:
    key:
    event_src.hostname
    filter {
        correlation_name == null
        action == "login"
        status == "success"
        object.account.name != null
        object.account.name != subject.account.name
        subject.process.fullpath =="/etc/shadow" 
    }


event ssh_login:
    key:
    event_src.hostname
    filter {
        correlation_name == null
        action == "view"
        status == "success"
        
    }

    rule aaaaa_gasi_svet: (passwords_snatched -> ssh_login) within 5m

    init {
        
    }

    on passwords_snatched {
        
    }
    
    on 

emit {
    $correlation_type = "incident"

    $subject = "account"
    $action = "access"
    $object = "system"
    $status = "success"

    $importance = "high"
}
```

метаданные отказались билдиться, поэтому проверить правило корреляции не удалось

![](https://i.imgur.com/8DdyVkM.png)








