Rule engine
Политики и каналы контроля
Продукт: СОПКА.РойВерсия: 1.0.0Агент: 1.0.1Редакция: 15.10.2026
Правообладатель ПО: Общество с ограниченной ответственностью «Каннам». ИНН 2543020645, ОГРН 1132543001502.
Правообладатель.
Политика, возможность и событие
Возможность разрешает функцию агента. Политика описывает условия и результат обработки событий. Событие фиксирует наблюдение, инцидент выделяет его для расследования, а действие изменяет состояние компьютера только после исполнения. Включение канала само по себе не создаёт инцидент.
Атрибуты политики
Политика объединяет правила одного канала и задаёт, для каких клиентов и пользователей они действуют. Настройки функций агента задаются отдельно в разделе возможностей.
| Поле / атрибут | Значение и влияние |
|---|
| Название | Название в каталоге, карточках и связанных событиях. Помогает определить назначение политики; само по себе не является условием срабатывания. |
| Описание | Пояснение цели и области контроля для администратора. Не участвует в сопоставлении события и не задаёт действие на компьютере. |
| Политика включена | Включает оценку правил этой политики на подходящих клиентах. Выключенная политика остаётся в каталоге, но её правила не участвуют в принятии новых решений. Отключение не отменяет уже выполненные действия. |
| Канал | Определяет источник событий, набор доступных условий и допустимых действий. В одной политике используется один канал. Контроль USB-накопителей и остальных USB-устройств настраивается раздельно. |
| Приоритет политики | Число, определяющее порядок обработки совпадений между политиками: большее значение обрабатывается раньше. Сравнивается до приоритета правила. Влияет на выбор конфликтующих действий и действие исключений. |
| Операционные системы | Ограничивает платформы, для которых предназначена политика. В текущем редакторе доступна Windows; выбор Linux отключён. |
| Значок в списке / Цвет значка | Оформление записи в каталоге. Не влияет на область, условия, порядок оценки, серьёзность и действия. |
| Правила | Набор отдельных условий и реакций внутри политики. Каждое правило имеет собственную включённость, приоритет, режим и серьёзность. Совпасть могут несколько правил одновременно. |
Область применения
| Поле / атрибут | Значение и влияние |
|---|
| Ко всем | Политика распространяется на подходящих клиентов рабочей области с учётом платформы и доступности канала. |
| К пользователям | Ограничивает применение выбранными именами пользователей, связанными с событием. Можно выбрать известные имена или добавить имя вручную. Пользователь Windows и учётная запись веб-консоли имеют разные назначения. |
| К группе клиентов | Ограничивает применение компьютерами выбранных групп. Это группы клиентов в веб-консоли, а не группы пользователей Windows. Изменение состава группы меняет круг адресатов политики. |
| К компьютерам | Ограничивает применение выбранными клиентами. Условие относится к источнику события; отдельное правило не расширяет область своей политики. |
Атрибуты правила
| Поле / атрибут | Значение и влияние |
|---|
| Название правила | Позволяет различать совпадения внутри политики. Отображает назначение правила; название не анализируется как условие. |
| Правило включено | Управляет участием конкретного правила в оценке. Выключенное правило не участвует даже при включённой политике. |
| Приоритет правила | Определяет очередность правил после учёта приоритета политики. Более высокое значение обрабатывается раньше. В редакторе порядок меняется стрелками в списке правил; поле текущего приоритета доступно для просмотра. |
| Режим | Определяет результат совпадения: наблюдение, применение выбранных действий либо исключение конкретных действий. Режим не заменяет условия и не меняет область политики. |
| Логика условий | AND требует совпадения всех добавленных условий. OR допускает совпадение любого из них и расширяет круг срабатываний. Для установленных программ применяется AND. |
| Условия | Ограничивают события по признакам выбранного канала. Если условий нет, правило относится ко всем событиям этого канала в своей области применения. |
| Проверять текст также в русской и английской раскладках | Для буфера обмена и клавиатуры дополнительно сопоставляет варианты раскладки захваченного текста с ключевыми словами и регулярными выражениями. Расширяет текстовый поиск; не переводит имена пользователей и пути программ. |
| Критичность | Уровень важности результата: низкая, средняя, высокая или критическая. Используется для отображения и оценки события или инцидента. Не увеличивает приоритет правила и не добавляет действия. При нескольких совпадениях учитывается наиболее высокий уровень. |
| Действия на компьютере | Операции, которые требуется выполнить при совпадении в режиме применения действий. Доступный список зависит от канала. Назначение действия не гарантирует его успешного выполнения Windows. |
| Исключаемые действия | Список конкретных операций, отменяемых правилом-исключением для совпавших событий с учётом приоритетов. Не является общим разрешением всего канала. |
| Реакции | Создание инцидента и уведомление пользователя. Это отдельные последствия совпадения; они не заменяют выбранные действия на компьютере. |
Режимы правила
| Режим | Результат |
|---|
| Наблюдение | Совпадение фиксируется без действий на компьютере; создание инцидента и уведомление пользователя задаются отдельно. |
| Применить действия | Нужно явно выбрать хотя бы одно поддерживаемое действие. Само решение deny не означает универсальную блокировку. |
| Исключение | Укажите конкретные действия, которые исключаются для совпадения. Исключение не отключает весь агент и все остальные каналы. |
Приоритеты и несколько совпадений
Движок рассматривает включённые применимые правила, включая несколько совпадений. Сначала сравнивается приоритет политики, затем правила, от большего к меньшему. Более приоритетное исключение подавляет указанные действия нижестоящих совпадений. Совместимые действия могут объединяться; для конфликтующих действий одной категории выбирается более приоритетное. При равных приоритетах не рассчитывайте на порядок отображения: задайте разные значения и проверьте итоговый план.
Правило может совпасть, но его действие будет подавлено исключением или конфликтом. Если разрешающее правило подавило все действия нижестоящего запрета, этот запрет не должен создавать инцидент и уведомление. Если конфликтующим действием победило другое правило, реакции совпавшего правила могут сохраниться. Поэтому проверяйте совпавшие правила, подавленные действия и фактические результаты отдельно.
Редакторы каналов
| Канал | Обозначение | Назначение и условия | Действия и ограничения |
|---|
| Буфер обмена | clipboard | Проверка текста буфера в контексте процесса и окна; обнаружение чувствительных фрагментов. | Очистка или замена текста, реакции на процесс и сессию. Не гарантирует отмену уже выполненной передачи. |
| Клавиатура | keyboard | Проверка вводимых последовательностей и контекста окна для выявления запрещённого ввода. | Реакции на процесс и сессию. Наличие наблюдения не означает перехвата всех способов ввода. |
| Приложения | applications | Контроль процессов, исполняемых файлов, окон и признаков программ удалённого доступа. | Закрытие приложения, завершение процесса или дерева. Для принудительного завершения нужны имя процесса либо путь EXE; одного заголовка окна недостаточно. |
| USB-накопители | usb | Контроль подключений и свойств съёмных дисков; применение режима доступа. | Отключение, запрос извлечения, только чтение. Занятость диска и поддержка Windows влияют на результат. |
| USB-устройства | usb_devices | Контроль USB-функций по типу и идентификаторам, включая устройства вне категории накопителей. | Запрет либо ожидание подтверждения администратора. Хабы и контроллеры исключены; доступ накопителей управляется отдельно. |
| Установленные программы | installed_programs | Контроль наличия и изменений состава ПО, издателя и версии. | Требование исправления с текстом и сроком. Автоматическая установка/деинсталляция и проверка отсутствующего обязательного ПО не поддерживаются текущим редактором. |
| Сетевые интерфейсы | network_interfaces | Контроль Wi-Fi, Ethernet, VPN и виртуальных адаптеров по их свойствам и состоянию. | Отключение адаптера, отключение Wi-Fi или изоляция компьютера. Это не анализ содержимого всего сетевого трафика. |
Как сопоставляются значения условий
Состав сохранённых сведений зависит от канала и настроек хранения. Отсутствие фрагмента текста не доказывает отсутствие совпадения; изменение заголовка окна может вызвать повторную оценку.
Несколько значений одного списка задают альтернативы: достаточно совпадения одного значения. Ввод списков разделяется запятыми или переносами строк. Пустое поле не добавляет ограничение. AND/OR связывает добавленные условия, а не отдельные элементы списка. Ключевые слова и регулярные выражения содержимого проверяются совместно: совпадения одного из них достаточно для текстового условия; то же относится к словам и выражениям текста окна.
Текстовые списки обычно ищут вхождение без учёта регистра. Поле «Имя процесса» сравнивает полное имя исполняемого файла, а «Полный путь EXE» - полный нормализованный путь. Серийные номера и PNP ID сравниваются как идентификаторы, а не как произвольные части текста. Регулярные выражения задают шаблон поиска; некорректное выражение не даёт совпадения. Недоступное текстовое содержимое окна не подтверждает совпадение условия по его тексту.
Условия: буфер обмена
| Поле / атрибут | Значение и влияние |
|---|
| Состояние буфера | Доступно изменение содержимого. Привязывает правило к обновлению буфера; не означает полноценное отслеживание каждой вставки в приложение. |
| Процесс-источник | Список имён процессов, связанных с источником содержимого. Используется текстовое сопоставление без учёта регистра; относится к источнику, а не к программе назначения. |
| Тип данных | Текст или файл. Ограничивает содержимое по его виду; список из обоих вариантов допускает любой из них. |
| Расширения файлов | Список расширений. Ограничивает файловое содержимое по окончанию имени файла. Не анализирует внутренний формат и не подтверждает его соответствие расширению. |
| Слова в содержимом | Список слов или фраз для поиска в доступном содержимом. Совпадение допускается как часть текста, без учёта регистра. |
| Регулярные выражения | Список шаблонов поиска в содержимом. Позволяет описать структуру текста вместо перечисления отдельных слов. |
Условия: клавиатура
| Поле / атрибут | Значение и влияние |
|---|
| Паттерн ввода | Доступен признак быстрой равномерной серии разных клавиш. Выбирает события, для которых агент распознал такой характер ввода; сам по себе не устанавливает происхождение ввода. |
| Процессы | Текстовый список процессов, связанных с вводом. Сужает правило по контексту источника события. |
| Активный процесс | Список точных имён исполняемых файлов активного приложения. Отделяет ввод в выбранных приложениях от остального ввода. |
| Заголовок окна | Слова или фразы в заголовке активного окна. Ограничивает контекст ввода; не равнозначно поиску текста внутри окна. |
| Набранный текст: ключевые слова | Ищет слова и фразы в доступном набранном тексте. Учитывает настройку проверки раскладок. |
| Набранный текст: регулярные выражения | Ищет заданные шаблоны в доступном набранном тексте. Работает с собранным содержимым, а не с будущим вводом. |
Условия: USB-накопители
| Поле / атрибут | Значение и влияние |
|---|
| Операция | Подключение, уже подключённый накопитель при обновлении политики или отключение. Подключение и повторная оценка при обновлении политики - разные основания срабатывания; выбираются отдельно. |
| Серийные номера | Список точных идентификаторов накопителя, доступных агенту. Ограничивает правило конкретными носителями; не является признаком разрешённости без соответствующего режима правила. |
| PNP ID накопителей | Список идентификаторов устройств Windows. Уточняет аппаратный объект, к которому относится событие. Название поля не делает его автоматически белым списком. |
| Тип устройства | Список типов носителя, переданных агентом. Ограничивает круг накопителей по классификации. |
| Файловая система | Список файловых систем тома. Ограничивает совпадение по доступным сведениям о файловой системе; не проверяет содержимое файлов. |
Условия: USB-устройства
| Поле / атрибут | Значение и влияние |
|---|
| Доверие к устройству | Недоверенное, доверенное или однократно одобренное. Выбирает состояние допуска USB-функции. Устройства исходного слепка сохраняют доверие при переподключении; однократное одобрение отличается от постоянного доверия. |
| Тип USB-функции | Клавиатура, мышь, камера, аудио, сеть, принтер или другой тип. Определяет контролируемую функцию. USB-накопители относятся к отдельному каналу. |
| Идентификаторы устройств | Список точных PNP-идентификаторов контролируемых USB-функций. У составного устройства отдельные функции могут иметь разные идентификаторы. |
| Событие | Подключение либо оценка уже подключённого устройства при обновлении политики. Позволяет отдельно охватить новые подключения и имеющиеся устройства. |
Условия: приложения
| Поле / атрибут | Значение и влияние |
|---|
| Событие | Запуск или закрытие приложения, изменение окна, скрытие окна, обнаружение защищённого окна либо окно удалённой сессии. Определяет основание оценки; защита окна от захвата и его скрытие - разные признаки. |
| Имя процесса | Список точных имён исполняемых файлов. Указывает целевой процесс. Для принудительного завершения процесса или его дерева необходим этот признак либо полный путь EXE; одного заголовка окна недостаточно. |
| Полный путь EXE | Список полных путей исполняемых файлов. Различает программы с одинаковым именем. Сопоставление не учитывает регистр и нормализует разделители пути. |
| Заголовок окна | Слова или фразы в заголовке. Позволяет ограничить правило по названию окна; не устанавливает подлинность приложения. |
| Текст окна: ключевые слова | Слова и фразы в доступном текстовом содержимом окна. Возможность совпадения зависит от получения этого содержимого агентом. |
| Текст окна: регулярные выражения | Шаблоны поиска в доступном тексте окна. Не используются вместо заголовка и не обеспечивают чтение недоступного содержимого. |
| Класс окна | Текстовые признаки класса окна Windows. Уточняет тип окна; не заменяет идентификацию процесса. |
| Состояние окна или процесса | В фокусе, видимо, свёрнуто, скрыто или фоновый процесс. Выбирает положение окна либо отсутствие обычного видимого окна у процесса. |
| Удалённый доступ | Список признаков средств удалённого доступа в контексте процесса или окна. Ограничивает правило распознанными признаками; не является анализом сетевого трафика. |
| Защищённое окно | При включении требует признак защиты окна от захвата средствами Windows. Это отдельное условие, а не действие по включению защиты. |
| Скрытое окно | При включении требует, чтобы окно не было видимым. Снятый флажок не означает обязательное наличие видимого окна: ограничение просто не добавляется. |
| Окно удалённой сессии | При включении требует соответствующий признак удалённого контекста окна. Не включает и не отключает удалённое подключение. |
Условия: установленные программы
| Поле / атрибут | Значение и влияние |
|---|
| Тип контроля | «Запрещённая программа» обозначает нежелательное ПО, «Положительное срабатывание» - регистрацию наличия выбранного ПО. Положительный контроль использует режим исключения и требует название или издателя; не обозначает проверку отсутствия обязательной программы. |
| Название | Список слов или фраз в названии из инвентаризации установленного ПО. Сопоставляется без учёта регистра. Не относится к имени запущенного процесса. |
| Издатель | Список слов или фраз в сведениях об издателе установленной программы. Это атрибут инвентаризации, а не самостоятельная проверка цифровой подписи. |
| Версия | Список текстовых значений версии. Используется поиск вхождения; поле не задаёт числовой диапазон версий и не сравнивает, какая версия новее. |
| Изменение | Наличие, добавление, удаление или изменение записи ПО. Для доступных типов запрещённого и положительного контроля допускаются наличие, добавление и изменение; удаление не подходит для сохранения такого правила. Проверка отсутствия ПО не поддерживается. |
| Логика условий | Всегда AND: признаки названия, издателя, версии и события совместно сужают круг совпадений. Наличие ПО не доказывает, что оно запущено или используется. |
Условия: сетевые интерфейсы
Этот канал контролирует конфигурацию адаптеров и её изменения. Поля редактора не задают фильтрацию сайтов, портов и содержимого сетевых пакетов.
| Поле / атрибут | Значение и влияние |
|---|
| Изменение сети | Любое изменение, добавление или удаление интерфейса, изменение IP, DNS, шлюза, MAC, состояния либо свойств. Несколько выбранных видов являются альтернативами. «Любое изменение» относится к событиям изменения, а не к каждому снимку инвентаризации. |
| Тип адаптера | Wi-Fi, Ethernet, Bluetooth, VPN или виртуальный адаптер. Ограничивает событие по классификации интерфейса. |
| Имя интерфейса | Слова или фразы в имени, описании либо признаке типа адаптера. Используется поиск вхождения без учёта регистра; не задаёт адрес назначения соединения. |
| Состояние подключения | Подключён или отключён. Выбирает состояние интерфейса, известное агенту. Подключённый интерфейс сам по себе не подтверждает доступность интернета или сервера. |
Явные действия на компьютере
| Действие | Поведение и ограничения |
|---|
| Запросить подтверждение администратора | Отключить USB-функцию до подтверждения администратором рабочей области. Накопители управляются отдельно. |
| Запретить USB-устройство | Отключить USB-функцию. Разрешение требует изменения политики. Хабы и контроллеры исключены. |
| Отключить учётную запись и завершить сеансы | Запретить новые входы локальному пользователю события и завершить его сеансы. Несохранённые данные будут потеряны. Выполняет служба; включить учётную запись можно из управления пользователями. Администраторы, системные и доменные учётные записи защищены. Для событий без подтверждённого пользователя действие пропускается. Требуется возможность «Локальные пользователи Windows». Перед разблокировкой устраните причину срабатывания политики. |
| Очистить буфер обмена | Удалить содержимое, вызвавшее срабатывание. |
| Заменить текст в буфере | Поместить заданное сообщение вместо обнаруженного текста. |
| Запросить закрытие приложения | Приложение сможет предложить сохранить документ. Принудительное завершение не выполняется. |
| Принудительно завершить процесс | Завершить конкретный процесс, связанный с событием. Несохранённые данные могут быть потеряны. |
| Завершить процесс и дочерние процессы | Завершить обнаруженное дерево процессов, связанное с событием. |
| Заблокировать экран | Показать экран блокировки Windows. Пользователь разблокирует сессию самостоятельно. |
| Изолировать компьютер от сети | Оставить доступ только к серверу СОПКА.Рой, DNS/DHCP и loopback. Действие можно отменить из карточки клиента. |
| Отключить USB-накопитель | Отключить конкретное устройство средствами Windows. |
| Запросить извлечение накопителя | Windows может отказать в извлечении, если устройство занято. |
| Разрешить только чтение | Установить атрибут «Только чтение» для поддерживаемого USB-диска. Результат проверяется. |
| Отключить сетевой адаптер | Отключить адаптер, связанный с событием. Связь агента с сервером может прерваться. |
| Отключиться от Wi-Fi | Разорвать текущее Wi-Fi-подключение, сохранив адаптер включённым. |
| Зафиксировать требование исправить состав ПО | Добавить к событию требование и срок исправления. Установка и удаление программ автоматически не выполняются. |
Параметры действий
| Поле / атрибут | Значение и влияние |
|---|
| Текст замены буфера | Для действия замены задаётся непустой текст длиной до 1000 символов. Определяет новое содержимое буфера после успешного выполнения. |
| Требование по установленному ПО | Для уведомления об устранении задаётся непустой текст требования до 1000 символов и срок от 1 до 365 дней; срок по умолчанию - 7 дней. Фиксирует требование и его срок, не выполняет установку или удаление программы. |
| Сочетание действий | В одном правиле допускается до 16 действий. Повтор одинакового типа не создаёт дополнительную операцию. Взаимоисключающие действия одной группы нельзя назначать вместе; редактор и проверка сохранения ограничивают сочетания. |
| Параметры исключения | Исключение перечисляет типы отменяемых действий. Для него не задаётся отдельный текст замены или срок требования. |
Реакции и их влияние
| Поле / атрибут | Значение и влияние |
|---|
| Запись события | Редактор сохраняет регистрацию события включённой. Даёт сведения о совпадениях и результатах. Регистрация сама по себе не блокирует операцию. |
| Создать инцидент | Создаёт объект для расследования при эффективном совпадении режима наблюдения или применения действий. Инцидент и действие на компьютере - самостоятельные результаты. |
| Уведомить пользователя | Запрашивает уведомление в поддерживаемом контексте. Для обычных каналов применяется при режиме действий; для установленного ПО предусмотрено уведомление по результату контроля. Уведомление не доказывает выполнение блокировки. |
| Реакции исключения | В режиме исключения редактор отключает создание инцидента и уведомление. Сохраняются регистрация и перечень исключаемых действий. Совпавшее исключение также подавляет реакции нижестоящих правил наблюдения; уже учтённые реакции более приоритетных правил оно не отменяет. |
| Несколько совпадений | Реакции учитываются вместе с порядком правил и эффективными действиями. Если все действия правила отменены исключением, оно не создаёт инцидент и уведомление только на основании этих отменённых действий. |
| Результат выполнения | В событии различаются совпадение правила, назначенное действие и фактический результат. Ошибка Windows, недостаток прав или отсутствие целевого объекта могут помешать выполнению. |
Возможности, которые не являются редакторами политик
Мониторинг файлов, браузерные наблюдения, снимки, поиск файлов, прямой экран, удалённая консоль и карантин являются отдельными функциями. Наличие события такого канала не означает наличие поддерживаемой блокирующей политики. Карантин файлов выполняется отдельной файловой операцией и не входит в каталог явных действий перечисленных редакторов.
Сохранение и применение
Сохранение фиксирует настройки в консоли. Контроль начинает использовать полученную клиентом конфигурацию, если платформа, поддержка и разрешение возможностей это допускают. Изменение политики не отменяет уже выполненные действия: восстановление устройства, учётной записи или сетевого доступа выполняется отдельно.
Анализ политик в AI-чате
Редактор или администратор может запросить сводку политик и кратких правил. AI-аналитик не сохраняет редактор, не меняет приоритеты и не применяет действия. Сведения о возможностях компьютера и явные настройки группы имеют разный смысл; итог определяется наследованием и поддержкой агентом.
Подробнее: AI-чат: анализ безопасности.
