Policy Finding multisorgente
La scheda Impostazioni tenant → Finding multisorgente definisce quali sorgenti possono partecipare alla correlazione. Il salvataggio crea una revisione di policy; non attiva la sorgente. Il dry-run produce risultati da verificare prima delle successive fasi operative.
Nella versione di riferimento il workspace delle impostazioni è riservato all'amministratore di piattaforma. Il componente della policy verifica inoltre i privilegi amministrativi e lo stato del coordinatore; non basta selezionare un tenant.
Prima configurazione
Percorso completo: Amministrazione → Impostazioni tenant (/tenant/settings) → Finding multisorgente. Il tenant deve avere connector nel registro: non è possibile costruire lo scope usando soltanto il nome del provider o un controller condiviso non associato al tenant.
Prima di iniziare, identifica le sorgenti effettivamente disponibili, le coppie che vuoi consentire e la famiglia di correlazione pertinente. Attendi il caricamento sia del registro sia dello stato policy. Se il coordinatore è attivo o una migrazione ha già raggiunto draining/drained, questa schermata non permette la normale modifica della configurazione.
| Esigenza | Scelta | Conseguenza |
|---|---|---|
| Inserire una sorgente nel perimetro | Aggiungerla a Connector nello scope | Diventa selezionabile nelle coppie; da sola non autorizza correlazioni con tutte le altre. |
| Consentire una correlazione fra due sorgenti | Aggiungere una coppia esplicita | Autorizza quella combinazione nello scope configurato. |
| Ritirare una sorgente dalla policy | Rimuoverla dallo scope e aggiornare le coppie | Le coppie rimaste fuori scope rendono la configurazione non valida. |
| Aumentare la storia iniziale osservata | Ampliare Finestra bootstrap entro i limiti | Aumenta l'intervallo storico richiesto; controllare volume e risultato del dry-run. |
| Cambiare frequenza di controllo | Intervallo polling | Cambia la cadenza, non la durata massima dei gruppi. |
| Valutare una revisione senza dichiararla attiva | Salva policy e Avvia dry-run | Produce evidenze di valutazione; readiness e attivazione rimangono fasi distinte. |
Scope e famiglie
| Campo | Vincoli | Significato |
|---|---|---|
Connector nello scope (connectorEntryIds) | Da 1 a 30 ID univoci del registro del tenant | Sorgenti autorizzate alla policy. Le opzioni mostrano connector, ID e stato; un connector disabilitato non diventa operativo perché selezionato. |
Famiglie (allowedFamilies) | Almeno una tra malware, authentication, network; nessun duplicato | Classi di correlazione ammesse. Il form nuovo preseleziona Network. |
Coppie consentite (allowedConnectorPairs) | Fino a 100 coppie; due ID presenti nello scope | Ogni correlazione tra due connector richiede una coppia esplicita. Selezionare entrambi nell'elenco generale non autorizza automaticamente la coppia. |
Aggiungi coppia richiede almeno due connector selezionati. Ogni riga ha Primo connector, Secondo connector e Rimuovi. Il contratto rifiuta coppie fuori scope: se rimuovi una sorgente, controlla anche le coppie che la usavano.
Limiti e finestre
I valori iniziali seguenti provengono dal contratto condiviso del prodotto, non da una stima della capacità del tenant.
| Campo | Range | Default | Effetto |
|---|---|---|---|
Sorgenti massime per gruppo (maxGroupSources) | Intero 1–50 | 50 | Limite di elementi sorgente in un gruppo correlato. |
Durata massima gruppo (maxGroupSpanMs) | 60.000–86.400.000 ms | 86.400.000 = 24 ore | Ampiezza temporale massima di un gruppo. |
Finestra bootstrap (bootstrapLookbackMs) | 60.000–2.592.000.000 ms | 604.800.000 = 7 giorni | Intervallo storico letto in fase di bootstrap. |
Dimensione pagina (pageSize) | Intero 1–100 | 100 | Elementi per pagina di lettura. |
Sorgenti massime per run (maxSourcesPerRun) | Intero 1–1.000 | 1.000 | Limite di sorgenti processabili nella singola run multisorgente. |
Intervallo polling (pollIntervalMs) | 5.000–3.600.000 ms | 30.000 = 30 secondi | Cadenza di controllo del coordinatore. |
Le tre durate sono in millisecondi. Per esempio 60.000 significa un minuto, non un'ora. maxSourcesPerRun di questa policy è diverso da maxClustersPerRun della generazione Finding, che nella relativa schermata indica la pagina di lettura.
Salvare e avviare il dry-run
- Attendi il caricamento del registro connector e dello stato della policy.
- Configura scope, famiglie, coppie e limiti; salva.
- Verifica il numero di revisione e il messaggio di salvataggio.
- Avvia Dry-run solo sulla revisione salvata, poi usa Aggiorna stato per leggerne l'esito.
Il salvataggio usa la revisione attesa; se un altro operatore modifica la policy, ricarica e confronta la nuova configurazione. Le modifiche sono bloccate quando il coordinatore è active o la migrazione è draining/drained. Il dry-run richiede inoltre una policy esistente con revisione positiva, nessuna bozza pendente e modalità diversa da enforce.
I badge indicano modalità (dry_run, enforce oppure non configurata), revisione, stato coordinatore e readiness. Readiness pronta per lo scope verificato è una valutazione del server: non certifica da sola che la sorgente sia stata attivata.
Continuità storica e aperture
La scheda subordinata mostra la readiness storica v3 e i casi storici, paginati a 25 elementi.
| Indicatore | Cosa controllare |
|---|---|
| Originali verificati | Evidenze originali per le quali esiste una prova verificata. |
| Baseline protette | Casi coperti dalla baseline di continuità. |
| Senza protezione | Casi che richiedono risoluzione prima di assumere continuità. |
| Baseline da rivalutare | Baseline diventate obsolete rispetto allo stato corrente. |
| Domini riservati | Ambiti riservati dalla protezione storica; non sono necessariamente domini DNS. |
| Operazioni interessate | Operazioni per cui il server limita le aperture nello scope coinvolto. |
| Revisione storica / verifica fino a | Versione e termine di validità delle evidenze di readiness. |
Ogni caso distingue prova dell'originale, prova della configurazione, baseline, routing e gap. Nessun caso storico in questa pagina non significa necessariamente assenza totale di casi: controlla la paginazione e la disponibilità della diagnostica. Una readiness precedente alla v3 resta consultabile ma non qualifica il cutover r6.
Il portale qui espone configurazione, dry-run e diagnostica. Non presenta in questa scheda un pulsante generico per forzare migrazioni, attivazione o rimozione dei blocchi storici.
Controllo conclusivo
Dopo il dry-run rileggi revisione, modalità e readiness: devono riferirsi alla policy appena salvata. Apri i casi storici interessati da gap e controlla la validità della verifica. Se l'obiettivo era soltanto predisporre una policy, il risultato atteso è una revisione salvata e valutabile; non descriverla come sorgente attiva.
| Problema | Passo successivo |
|---|---|
| Registro connector indisponibile | Usa la lettura di stato e ripristina l'accesso al registro prima di salvare; non sostituire ID con valori ipotetici. |
| Connector/famiglie duplicati o coppie fuori scope | Correggi gli elenchi e ricontrolla tutte le coppie. |
| Modifiche non salvate | Salva la revisione prima di avviare il dry-run. |
| Modifica non disponibile in questa fase | Leggi coordinatore e migrazione: una rilettura non annulla una fase operativa attiva. |
| Readiness storica v3 assente, scaduta o con gap | Conserva la configurazione, ma risolvi le evidenze richieste prima di assumere idoneità al cutover. |
Verifica sorgente: finding-multisource-policy-card, stato dei comandi, scheda storica e contratto finding-multisource; snapshot del 10 novembre 2026.