Настройка параметров наполнения алертов

Чтобы настроить параметры наполнения алертов:

1. В веб-интерфейсе KUMA перейдите в раздел Параметры → Другое → Алерты.
2. В открывшемся окне Алерты перейдите на вкладку Наполнение алертов и задайте значение следующих параметров:
   1. В раскрывающемся списке Статус выберите значение, при котором алерт будет наполняться событиями. Значение по умолчанию: Новый. В можете выбрать несколько значений. Значение Новый недоступно для удаления из выборки. Доступные значения:
      • Новый – создаваемые корреляционные события продолжают привязываться к алерту только в том случае, если статус алерта Новый.
      • В инциденте – создаваемые корреляционные события продолжают привязываться к алерту только в том случае, если статус алерта В инциденте. Если алерт перешел в статус В инциденте, он может вернуться в статус Новый, если алерт будет отвязан от инцидента. В этом случае алерт больше не будет наполняться событиями.

        Пример: алерт находится в статусе В инциденте. За время пребывания алерта в статусе В инциденте новых событий не поступало. Если отвязать алерт от инцидента, алерт будет пополняться событиями. Если, пока алерт был привязан к инциденту, поступали еще события и был создан новый алерт, будет наполняться последний созданный алерт.

      • Назначен – создаваемые корреляционные события продолжают привязываться к алерту только в том случае, если статус алерта Назначен.
   2. В поле Алерт создан не позднее (часы) укажите время, в течение которого алерт будет наполняться событиями. Значение параметра должно быть целым числом. Отсчет времени осуществляется от момента создания алерта. Значение по умолчанию: 336 часов (2 недели). Минимальное значение: 1 час.

      Если указаны значения для параметров Статус, Алерт создан не позднее (часы) и Максимальное количество событий, наполнение алерта прекращается при выполнении первого из следующих условий:

      • статус алерта изменился и больше не соответствует выбранным значениям;
      • истекло заданное время наполнения;
      • количество событий в алерте достигло значения, указанного в поле Максимальное количество событий.

      Если после прекращения наполнения алерт снова переходит в статус, при котором наполнение разрешено, новые события в него не добавляются. Например, если наполнение настроено только для статуса Новый, после перехода алерта в статус В инциденте наполнение прекращается. Если затем алерт снова получает статус Новый, новые события в него не добавляются.

   3. В раскрывающемся списке Хранилище событий выберите хранилище, в котором хранятся события алерта. Можно указать только одно хранилище. В списке отображаются ресурсы хранилища, а не запущенные сервисы. Для того чтобы алерты наполнялись событиями, сервис хранилища должен быть запущен.

      Алерты, созданные до указания хранилища в параметрах наполнения, не содержат события. После того, как значение параметра Хранилище событий задано или изменено, существующие алерты не наполняются событиями указанного хранилища. В этом случае создаются новые алерты с событиями указанного хранилища. После выбора хранилища событий, этот параметр может применяется к алертам до двух минут. Алерты созданные до применения этого параметра, могут не содержать события указанного хранилища.

   4. В раскрывающемся списке Отображать в Информации об алерте выберите поле корреляционного события, которое будет отображаться в карточке алерта и в столбце Дополнительная информация в разделе Алерты. Вы можете выбрать одно из следующих значений:
      • DestinationAddress – IPv4 или IPv6-адрес точки назначения (актива), в отношении которой произошло событие.
      • SourceAddress – IPv4 или IPv6-адрес устройства-источника события. Если пользователь вошел в систему с помощью прокси-сервера, будет указан адрес прокси-сервера.
      • DeviceAddress – IPv4 или IPv6-адрес устройства, с которого было получено событие.
      • DestinationAssetName – название актива в точке назначения.
      • SourceAssetName – название актива на источнике события.
      • DeviceAssetName – название актива на устройстве, с которого было получено событие.
      • DestinationHostName – доменное имя точки назначения.
      • SourceHostName – доменное имя источника события.
      • DeviceHostName – имя устройства, с которого было получено событие. FQDN устройства, если доступно.
      • DestinationUserName – имя пользователя точки назначения.
      • SourceUserName –имя пользователя источника.
      • DestinationAccountName – название учетной записи в точке назначения.
      • SourceAccountName – название учетной записи источника события.
      • Message – краткое описание события.
      • DeviceCustomString1, DeviceCustomString2, DeviceCustomString3, DeviceCustomString4, DeviceCustomString5, DeviceCustomString6 – поля для маппинга строкового значения.

      Вы можете выбрать только одно поле. Для некоторых полей автоматически отображается дополнительное связанное поле. Если выбрано поле, которое относится к адресу или имени хоста, дополнительно отображается связанное поле AssetName. Если выбрано поле, связанное с именем пользователя, дополнительно отображается поле AccountName. В этих случаях значения полей объединяются через запятую: сначала выбранное поле, а затем дополнительное.

      Настроенный параметр применяется только к новым алертам.

   5. В поле Максимальное количество событий укажите максимальное количество событий, которые могут быть добавлены в один алерт. После достижения указанного количества наполнение алерта прекращается.

      Значение параметра должно быть целым числом. Значение по умолчанию: 10000. Минимальное значение: 1. Максимальное значение не ограничено.

      При сохранении правил сегментации выполняется проверка значения количества событий. Если в правиле указано количество событий, превышающее значение параметра Максимальное количество событий, сохранение завершается с ошибкой. Для правил сегментации, созданных до уменьшения значения параметра, изменение не применяется. Такие правила продолжают работать, но количество событий, добавляемых в алерт, не превышает значение параметра Максимальное количество событий.

Параметры наполнения алертов настроены.