Примеры:

• На виджете Алерты по статусу под значком периода отображается количество алертов, сгруппированных по статусам Новый, Открыт, Назначен или Эскалирован.

  Если вы хотите просмотреть в легенде алерты только со статусами Открыт и Назначен, вы можете снять флажки слева от статусов Новый и Эскалирован.

• На виджете События, для которого указан SQL-запрос SELECT count(ID) AS `metric`, Name AS `value` FROM `events` GROUP BY Name ORDER BY `metric` DESC LIMIT 10, под значком периода отображается 10 событий, сгруппированных по имени и отсортированных в порядке убывания.

  Если вы хотите просмотреть в легенде события с определенными именами, вы можете снять флажки слева от имен событий, которые не должны отображаться в легенде.

Пример 1:

На виджете Количество активов отображается общее количество активов, добавленных в KUMA.

Пример 2:

Если вы хотите посмотреть тренды для сравнения текущих данных с данными за прошлый период, вы можете создать виджет с отображением восходящих или нисходящих трендов. Тренды настраиваются в следующих виджетах:

• Активы → Количество активов.
• Активы → Пользовательский виджет.
• Алерты → Активные алерты.
• Алерты → Неназначенные алерты.
• Инциденты → Активные инциденты.
• Инциденты → Неназначенные инциденты.
• Инциденты → Все инциденты.
• Пользователи → Количество пользователей AD.

  Для настройки отображения трендов требуется включить переключатель Показывать данные за предыдущий период, а затем на вкладке Внешний вид выбрать тренд. Если значение в процентах нельзя подсчитать или если значения равны, отображается значок . Если выбран параметр Восходящий - лучше, зеленая стрелка на графике указывает на восходящий тренд, красная – на нисходящий. Если выбран параметр Нисходящий - лучше, красная стрелка на графике указывает на восходящий тренд, зеленая – на нисходящий.

  Если вам нужно изменить отображение данных на виджете (например, вместо процентов посмотреть абсолютные значения), вы можете нажать кнопкой мыши на значение. Эта функция доступна при отображении виджета на панели мониторинга и при включенном режиме ТВ.

Пример:

На виджете События, для которого указан SQL-запрос SELECT TenantID , Timestamp , Name , DeviceProduct , DeviceVendor FROM `events` LIMIT 10, отображается таблица событий со столбцами TenantID, Timestamp, Name, DeviceProduct, DeviceVendor. Таблица содержит 10 строк.

Пример:

На виджете Netflow top internal IPs, для которого указан SQL-запрос SELECT sum(BytesIn) AS metric, DestinationAddress AS value FROM `events` WHERE (DeviceProduct = 'netflow' OR DeviceProduct = 'sflow') AND (inSubnet(DestinationAddress, '10.0.0.0/8') OR inSubnet(DestinationAddress, '172.16.0.0/12') OR inSubnet(DestinationAddress, '192.168.0.0/16')) GROUP BY DestinationAddress ORDER BY metric DESC LIMIT 10, на оси X диаграммы отображается сумма трафика в байтах, на оси Y диаграммы отображаются адреса портов назначения. Данные сгруппированы по адресам назначения в порядке убывания суммы трафика.

Пример:

SELECT count(ID) AS `metric`, Timestamp AS `value`

FROM `events`

GROUP BY Timestamp

ORDER BY `metric` DESC

LIMIT 250

На диаграмме по оси X отсчитывается дата создания события, по оси Y диаграммы отображается количество событий. Столбцы диаграммы расположены слева направо в порядке убывания количества событий.

Пример:

SELECT count(ID) AS `metric`, Timestamp AS `category`, Type AS `value`

FROM `events`

GROUP BY Timestamp, Type

ORDER BY metric DESC

LIMIT 250

На диаграмме по оси X отображаются временные интервалы, по оси Y – количество событий. Каждая часть столбца соответствует значению поля, отмеченного как Type.

Пример:

SELECT count(ID) AS `metric`, Timestamp AS `category`, CorrelationRuleName AS `value`

FROM `events`

WHERE Type = 3

GROUP BY Timestamp, CorrelationRuleName

ORDER BY metric DESC

LIMIT 250

На диаграмме по оси X отображаются временные интервалы (поле, отмеченное как category). По оси Y отображается количество срабатываний корреляционных правил (поле, отмеченное как metric). Каждая линия на графике соответствует уникальному значению поля value (в этом случае, названию корреляционного правила).

Для группировки вы можете использовать в календарной диаграмме следующие поля времени:

• Timestamp
• DeviceCustomDate1
• DeviceCustomDate2
• EndTime
• FileCreateTime
• FileModificationTime
• FlexDate1
• OldFileCreateTime
• OldFileModificationTime
• DeviceReceiptTime
• StartTime

Для полноценной работы с данными, рекомендуется округлять с помощью поддерживаемых функций ClickHouse значения в поле времени (отмеченное как Timestamp) до нужного временного интервала (например, 1 час, 1 день).

Для виджета с графиком типа Календарная диаграмма с видом диаграммы Линейная диаграмма вы также можете настроить параметры для отображения среднего значения. Для этого на вкладке Внешний вид для параметра Регрессия требуется выбрать LOESS.

Пример:

На виджете События, для которого указан SQL-запрос SELECT count(ID) AS `metric`, SourcePort AS `value` FROM `events` GROUP BY SourcePort ORDER BY `value` ASC LIMIT 250, на оси X диаграммы представлен примерный номер порта, на оси Y диаграммы отображаются количество событий. Данные сгруппированы по номеру порта в порядке возрастания.

Для виджета с графиком типа Линейная диаграмма вы также можете настроить параметры для отображения среднего значения. Для этого на вкладке Внешний вид для параметра Регрессия требуется выбрать Линейная. Если на графике отображается несколько категорий, для каждой категории отображается среднее значение.

Примеры:

При создании пользовательского виджета с графиком типа Сложенная столбчатая диаграмма на основе SQL-запроса для виджета События действуют следующие правила:

• Поле в запросе, указанное как псевдоним value (должно быть указано обязательно), будет использоваться на диаграмме как поле, по которому строится легенда и столбцы делятся на категории.
• Поле в запросе, указанное как псевдоним category (должно быть указано обязательно), будет использоваться на диаграмме как поле, по значениям которого будут расположены столбцы по оси X.
• Поле в запросе, указанное как псевдоним metric, будет использоваться на диаграмме как поле, по которому должен вестись количественный подсчет частей столбцов. В этом случае количественное распределение будет производиться автоматически.

При этом вы можете самостоятельно управлять подсчетом, используя в качестве метрик стандартные функции агрегации sum, avg, min, max, count и собственные псевдонимы с произвольным названием вместо стандартного псевдонима metric (в этом случае не будет поддерживаться отображение данных за предыдущий период).

Пример 1:

В виджете События указан следующий SQL-запрос со стандартными псевдонимами, при создании виджета выбран параметр Показывать данные за предыдущий период:

SELECT count(ID) AS `metric`,

Type AS `value`,

TenantID AS `category`

FROM `events`

GROUP BY value, category

ORDER BY metric DESC

На диаграмме по оси X отображаются соответствующие тенанты (поле, указанное как category), по оси Y отображается количество событий определенного типа (поле, указанное как value). В каждом столбце количество, соответствующее определенному типу, отображается отдельным цветом. В легенде в качестве категорий отображаются названия типов событий, по которым разбиваются столбцы. Каждой категории соответствует цвет, автоматически присвоенный ей в столбце. Если вы хотите просмотреть на диаграмме события только с определенными типами, вы можете снять или установить флажки слева от соответствующих типов событий в легенде.

Рядом с каждым столбцом отображается дополнительный столбец с данными за прошлый период, если такие данные были получены в запросе.

Пример 2:

В виджете События указан следующий SQL-запрос с пользовательскими метриками, указанными как псевдонимы Base и Audit вместо стандартного metric:

SELECT SUM(IF (Type = 1,1,0)) AS `Base`,

SUM(IF (Type = 4,1,0)) AS `Audit`,

TenantID as `category`

FROM `events`

GROUP BY category

На диаграмме по оси X отображаются соответствующие тенанты (поле, указанное как category), по оси Y отображается количество событий каждого типа (пользовательские метрики, указанные как Base и Audit). В каждом столбце количество, соответствующее определенной метрике, отображается отдельным цветом. В легенде в качестве названий категорий отображаются метрики Base и Audit, по которым столбцы делятся на категории. Каждой категории соответствует цвет, автоматически присвоенный ей на столбце. Если вы хотите просмотреть на диаграмме события, соответствующие только определенной метрике, вы можете снять или установить флажки слева от нужной метрики в легенде.

Дополнительный столбец с данными за прошлый период для запроса с пользовательскими метриками не отображается, даже если при создании виджета выбран параметр Показывать данные за предыдущий период.

Пример 3:

В виджете События указан следующий SQL-запрос со стандартными псевдонимами:

SELECT count(ID) AS `metric`,

TenantID as `value`,

Type as `category`

FROM events

GROUP BY value, category

ORDER BY metric DESC

В отличие от схожего запроса в примере 1, в этом случае на диаграмме по оси X отображаются соответствующие типы событий (поле, указанное как category), а тенантам (поле, указанное как value) соответствуют области значений в столбцах (по оси X) и соответствующие подписи в легенде.

Пример 4:

В виджете События указан следующий SQL-запрос со стандартными псевдонимами:

SELECT count(ID) AS `metric`,

CAST(fromUnixTimestamp64Milli(Timestamp) AS DATE) AS `category`,

Type as `value`

FROM `events`

GROUP BY category, value

ORDER BY category DESC

На диаграмме по оси X отображаются дни месяца (поле, указанное как category). По оси Y отображается количество событий определенного типа (поле, указанное как value).

Чтобы построить подобный график с расположением столбцов по дате и/или времени, используйте в запросе группировку и сортировку по следующим полям с типом timestamp:

• Timestamp
• DeviceCustomDate1
• DeviceCustomDate2
• EndTime
• FileCreateTime
• FileModificationTime
• FlexDate1
• OldFileCreateTime
• OldFileModificationTime
• DeviceReceiptTime
• StartTime

Для полноценной работы с данными, расположенными по дате и/или времени, рекомендуется использовать тип графиков Календарная диаграмма.

Пример 1:

На пользовательском виджете Активы пользователь выбирает категорию активов, количество активов в которой сравнивается с общим количеством активов. Пользователь может указать пороговые значения для шкалы на графике. Затем на основе одного или нескольких условий для оси Y осуществляется расчет по имеющейся базе активов.

Пример 2:

На виджете Алерты тип графика Спидометр можно выбрать для категорий Активные алерты и Неназначенные алерты. Для алертов выбираются тенант и период для анализа. По умолчанию эти значения соответствуют значениям, указанным в применимой панели мониторинга. В общем количестве алертов можно также показыть данные за предыдущий период.

Аналогичным образом рассчитывается процентное значение для категорий Активные инциденты и Неназначенные инциденты на виджете Инциденты.

Пример 3:

На виджете События для типа графика Спидометр пользователь указывает тенанта, период для анализа, а также хранилище данных о событиях. SQL-запрос к базе данных отображается в следующем виде:

SELECT count(ID) AS `metric`, SourcePort AS `value` FROM `events` GROUP BY SourcePort ORDER BY value ASC LIMIT 250