Как писать правила корреляции, чтобы они не сожрали твои ресурсы

SIEM-системы являются весьма востребованным продуктом на рынке информационной безопасности. Но мало просто иметь у себя в компании «сиемку» — необходимо ее правильно «готовить». Как известно, написание правил корреляции — дело непростое, требующее понимание как домена, так и основ программирования. Обычно второе может упускаться, ведь написание логики правила важнее, чем использование более оптимальных конструкций. Но второй факт сильно влияет на производительность корреляции, количество затрачиваемых ресурсов и скорость работы. В докладе мы рассмотрим плохие и хорошие практики написания правил корреляции. А чтобы разница в используемых конструкциях была более наглядна, будем запускать тесты на производительность, используя опенсорсный плагин для VS Code. Ксения Змичеровская R-Vision