[Документация Yandex Cloud](../../../index.md) > [Yandex SIEM](../../index.md) > [Пошаговые инструкции](../index.md) > [Правила корреляции](index.md) > Управление правилами корреляции

# Управление правилами корреляции

{% note info %}

Функциональность находится на стадии [Preview](../../../overview/concepts/launch-stages.md). Чтобы получить доступ, обратитесь в [техническую поддержку](https://kz.center.yandex.cloud/support) или к вашему аккаунт-менеджеру.

{% endnote %}

В этом разделе описано, как создавать правила корреляции, управлять их параметрами и выполнять основные операции.

## Перед началом работы {#before-you-begin}

Раздел Yandex SIEM появится в интерфейсе Cloud Center как модуль Security Deck после одобрения заявки на доступ.

Для работы с сервисом вам потребуется [роль](../../../iam/roles-reference.md#ycdr-admin) `ycem.editor`.

## Создание правила корреляции {#create}

Чтобы создать правило корреляции:

{% list tabs group=instructions %}

- Интерфейс Cloud Center {#cloud-center}

  1. Перейдите в сервис [Security Deck](https://center.yandex.cloud/security/).
  1. На панели слева выберите **Yandex SIEM**.
  1. Перейдите в раздел **Правила корреляции**.
  1. Нажмите **Новое правило**.
  1. В поле **Условие корреляции** введите KQL-запрос. При необходимости используйте шаблоны, схему или датасеты.
  1. В блоке **Агрегация** укажите ключ агрегации и окно агрегации.
  1. В блоке **Действия при срабатывании** настройте параметры создаваемого алерта: имя, тип и классификацию.
  1. В блоке **Параметры** заполните обязательное поле **Имя**, а также при необходимости — **Описание**, **Класс** и **Критичность срабатывания**.
  1. Нажмите **Сохранить**.

{% endlist %}

## Редактирование правила {#edit}

Чтобы изменить параметры правила корреляции:

{% list tabs group=instructions %}

- Интерфейс Cloud Center {#cloud-center}

  1. Перейдите в сервис [Security Deck](https://center.yandex.cloud/security/).
  1. На панели слева выберите **Yandex SIEM**.
  1. Перейдите в раздел **Правила корреляции**.
  1. В строке нужного правила нажмите значок ![image](../../../_assets/console-icons/ellipsis.svg) и выберите **Редактировать**.
  1. Измените нужные поля.
  1. Нажмите **Сохранить**.

{% endlist %}

## Выключение правила {#disable}

Чтобы выключить правило корреляции:

{% list tabs group=instructions %}

- Интерфейс Cloud Center {#cloud-center}

  1. Перейдите в сервис [Security Deck](https://center.yandex.cloud/security/).
  1. На панели слева выберите **Yandex SIEM**.
  1. Перейдите в раздел **Правила корреляции**.
  1. В строке нужного правила нажмите значок ![image](../../../_assets/console-icons/ellipsis.svg) и выберите **Выключить**.

  Выключенное правило переходит в статус **Inactive** и перестает обрабатывать события.

{% endlist %}

## Сброс изменений {#reset}

Чтобы сбросить изменения правила до последней развернутой версии:

{% list tabs group=instructions %}

- Интерфейс Cloud Center {#cloud-center}

  1. Перейдите в сервис [Security Deck](https://center.yandex.cloud/security/).
  1. На панели слева выберите **Yandex SIEM**.
  1. Перейдите в раздел **Правила корреляции**.
  1. В строке нужного правила нажмите значок ![image](../../../_assets/console-icons/ellipsis.svg) и выберите **Сбросить изменения**.

  Все несохраненные изменения будут отменены. Правило вернется к последней развернутой конфигурации.

{% endlist %}

## Удаление правила {#delete}

Удалить можно только пользовательские правила. Предустановленные правила удалить нельзя.

Чтобы удалить пользовательское правило корреляции:

{% list tabs group=instructions %}

- Интерфейс Cloud Center {#cloud-center}

  1. Перейдите в сервис [Security Deck](https://center.yandex.cloud/security/).
  1. На панели слева выберите **Yandex SIEM**.
  1. Перейдите в раздел **Правила корреляции**.
  1. В строке нужного правила нажмите значок ![image](../../../_assets/console-icons/ellipsis.svg) и выберите **Удалить**.
  1. Подтвердите удаление.

  {% note warning %}

  Удаление правила необратимо. Все настройки правила будут удалены.

  {% endnote %}

{% endlist %}

#### Полезные ссылки {#see-also}

* [Правила корреляции и исключения](../../concepts/correlation-rules.md).
* [Управление исключениями](../exceptions/manage-exceptions.md).
* [Работа со списком правил корреляции](rules-list.md).