Парсинг и преобразование формата даты и времени в Kaspersky Unified Monitoring and Analysis Platform

Некоторые события, поступающие в Kaspersky Unified Monitoring and Analysis Platform (далее KUMA), могут иметь нестандартный формат времени — YYMMDD;HHMMSS (пример: 260715;083021).

Для удобства анализа событий мы рекомендуем преобразовать нестандартный формат времени в один из форматов, поддерживаемый KUMA. В статье мы приводим рекомендацию как преобразовать время событий в формат по шаблону YYYY-MM-DDThh:mm:ssZ (пример: 2026-07-15T08:30:21.000Z).

Как создать нормализатор для парсинга даты и времени в KUMA

1. Откройте веб-интерфейс KUMA.

2. Перейдите в Ресурсы → Нормализаторы и нажмите Создать.

3. 

3. Укажите параметры нормализатора во вкладке Схема нормализации:
   1. Название — задайте произвольное название для нового парсера, например Date_time.
   2. Тенант — выберите тенант, к которому хотите привязать нормализатор.
   3. Метод парсинга — выберите csv.
   4. Разделитель — укажите ;.
   5. Сохранить дополнительные поля — выберите Да.

4. 

4. Нажмите Добавить строку в разделе Сопоставление внизу страницы.

5. 

5. Заполните поля:
   1. Исходные данные — укажите 0.
   2. Поле KUMA — выберите любое свободное поле, например FlexString1.
   3. Нажмите для перехода к параметрам преобразования данных.

   

6. Нажмите Добавить преобразование.

7. 

7. Задайте условия преобразования данных:
   1. Тип — выберите replaceWithRegexp.
   2. Выражение — укажите регулярное выражение для захвата даты из исходного формата — 260715:
      
      ^(\d{2})(\d{2})(\d{2})$
   3. Чем заменить — укажите выражение для преобразования обработанных значений в формат 26-07-15:
      
      $1-$2-$3
   Нажмите Сохранить.

8. 

8. Нажмите Добавить строку.

9. 

9. Заполните поля:
   1. Исходные данные — укажите 1.
   2. Поле KUMA — выберите любое свободное поле, например FlexString1Label.
   3. Нажмите для перехода к параметрам преобразования данных.

   

10. Нажмите Добавить преобразование.

11. 

11. Задайте условия преобразования данных:
    1. Тип — выберите replaceWithRegexp.
    2. Выражение — укажите регулярное выражение для захвата времени из исходного формата — 083021:
       
       ^(\d{2})(\d{2})(\d{2})$
    3. Чем заменить — укажите выражение для преобразования обработанных значений в формат 08:30:21):
       
       $1:$2:$3
    Нажмите Сохранить.

12. 

12. Выберите вкладку Обогащение и нажмите Добавить обогащение.

13. 

13. Задайте условия обогащения, чтобы соединить обработанные ранее данные в новый формат времени по шаблону 2026-07-15T08:30:21.000Z:
    1. Тип источника данных — выберите шаблон.
    2. Шаблон — укажите значение:
       
       20{{.FlexString1}}T{{.FlexString1Label}}.000Z
    3. Целевое поле — выберите DeviceReceiptTime.
    Нажмите Добавить обогащение.

14. 

14. Задайте первый источник данных для преобразования:
    1. Тип источника данных — выберите константа.
    2. Целевое поле — выберите FlexString1.
    3. Константа — оставьте пустым.
    Нажмите Добавить обогащение.

15. 

15. Задайте второй источник данных для преобразования:
    1. Тип источника данных — выберите константа.
    2. Целевое поле — выберите FlexString1Label.
    3. Константа — оставьте пустым.
    Нажмите OK.

16. 

16. Нажмите Создать.

17. 

Как использовать нормализатор в качестве парсера в другом нормализаторе в KUMA

1. Откройте веб-интерфейс KUMA.

2. Перейдите в Ресурсы → Нормализаторы и откройте нормализатор, в который хотите добавить ранее созданный парсер.

3. Нажмите , чтобы добавить дополнительный парсер событий.

4. 

4. Задайте условия дополнительной нормализации:
   1. Использовать сырое событие — выберите Нет.
   2. Поле, которое следует передать в нормализатор — укажите DeviceReceiptTime.

5. 

5. Выберите вкладку Схема нормализации и укажите параметры:
   1. Название — задайте произвольное название для нового парсера, например Date_time_parsing.
   2. Метод парсинга — выберите normalizer.
   3. Нормализатор — укажите ранее созданный нормализатор Date_time.
   Нажмите OK.

6. 

6. Нажмите Сохранить.

7. 

Полезные ссылки:

Нормализация событий