Kaspersky Unified Monitoring and Analysis Platform

Объявление переменных

Для объявления переменных их необходимо добавить в коррелятор или правило корреляции.

Чтобы добавить глобальную переменную в существующий коррелятор:

1. В веб-интерфейсе KUMA в разделе Ресурсы → Корреляторы выберите набор ресурсов нужного коррелятора.

   Откроется мастер установки коррелятора.

2. Выберите шаг мастера установки Глобальные переменные.
3. Нажмите на кнопку Добавить переменную и укажите следующие параметры:
   • В окне Переменная введите название переменной.

     Требования к наименованию переменных

     • Должно быть уникально в рамках коррелятора.
     • Должно содержать от 1 до 128 символов Юникода.
     • Не может начинаться с символа $.
     • Должно быть написано в camelCase или CamelCase.

   • В окне Значение введите функцию переменной.

     Описание функций переменных.

   Переменных можно добавить несколько. Добавленные переменные можно изменить или удалить с помощью значка .

4. Выберите шаг мастера установки Проверка параметров и нажмите Сохранить.

Глобальная переменная добавлена в коррелятор. К ней можно обращаться, как к полю события, указывая перед названием переменной символ $. Переменная будет использоваться при корреляции после перезапуска сервиса коррелятора.

Чтобы добавить локальную переменную в существующее правило корреляции:

1. В веб-интерфейсе KUMA в разделе Ресурсы → Правила корреляции выберите ресурс нужного правила корреляции.

   Откроется окно параметров правила корреляции. Параметры правила корреляции можно также открыть из коррелятора, в которое оно было добавлено, перейдя на шаг мастера установки Корреляция.

2. Откройте закладку Селекторы.
3. В селекторе откройте закладку Локальные переменные, нажмите на кнопку Добавить переменную и укажите следующие параметры:
   • В окне Переменная введите название переменной.

     Требования к наименованию переменных

     • Должно быть уникально в рамках коррелятора.
     • Должно содержать от 1 до 128 символов Юникода.
     • Не может начинаться с символа $.
     • Должно быть написано в camelCase или CamelCase.

   • В окне Значение введите функцию переменной.

     Описание функций переменных.

   Переменных можно добавить несколько. Добавленные переменные можно изменить или удалить с помощью значка .

   Для правил корреляции типа standard повторите этот шаг для каждого селектора, в которым вы хотите объявить переменные.

4. Нажмите Сохранить.

Локальная переменная добавлена в правило корреляции. К ней можно обращаться, как к полю события, указывая перед названием переменной символ $. Переменная будет использоваться при корреляции после перезапуска сервиса коррелятора.

Добавленные переменные можно изменить или удалить. Если правило корреляции обращается к необъявленной переменной (например, если ее название было изменено), в качестве результата возвращается пустая строка.

Если вы измените название переменной, вам потребуется вручную изменить название этой переменной во всех правилах корреляции, где вы ее использовали.