Генерация событий для тестирования работы нормализатора

При необходимости вы можете самостоятельно сгенерировать примеры событий, чтобы проверить работу написанного нормализатора. Такая проверка упрощает написание регулярных выражений и позволяет увидеть, какие значения попадают в поля событий KUMA.

Стоит принять во внимание следующие особенности:

Эта проверка эмулирует обработку события. Указанные примеры события в поле Пример события предназначены для отображения примеров в разделе Сопоставление полей. Из примеров родительского нормализатора формируются примеры дочерних нормализаторов с учетом параметра Поле, которое следует передать в нормализатор.
Невозможно применять мутации.

Чтобы протестировать нормализатор, необходимо добавить пример события в поле Пример события в выбранном нормализаторе и запустить генерацию событий с помощью соответствующей команды. В результате выполнения команды KUMA берет пример события из поля Пример события и посылает события в нормализатор с указанным интервалом. При необходимости вы можете указать несколько примеров, чтобы получить события для нескольких примеров.

Чтобы протестировать нормализатор:

Выберите коллектор, на котором вы планируете проводить тестирование:
- Если коллектор установлен на сервере и запущен, остановите сервис коллектора:
  sudo systemctl stop kuma-collector-<service_ID>.service
  
  где:
  
  <service_ID> — идентификатор сервиса, скопированный из веб-интерфейса KUMA.
- Если коллектор не запущен или в процессе создания или редактирования, перейдите к следующему шагу.
В мастере создания коллектора при необходимости заполните или отредактируйте обязательные поля на шаге Подключение источников и на шаге Транспорт, а затем перейдите к шагу Парсинг:
1. Привяжите нормализатор, выбрав его из раскрывающегося списка, или создайте нормализатор.
2. В поле Примеры событий добавьте примеры событий. Например, для нормализатора типа json вы можете добавить следующее значение: {"name": "test_events", "address": "10.12.12.31"}. Вы можете указать несколько примеров, чтобы в одном нормализаторе получать события по нескольким примерам. События будут генерироваться для каждого примера.
В мастере установки коллектора перейдите к шагу Маршрутизация и укажите хранилище, где будут храниться тестовые события.
Проверьте параметры коллектора и нажмите Сохранить.
Перейдите в раздел KUMA Активные сервисы и добавьте коллектор с помощью кнопки Добавить. В открывшемся окне Выберите сервис выберите коллектор и нажмите Создать сервис. Коллектор отобразится в списке Активные сервисы.
Проверьте статус коллектора, на который поступают события. Статус коллектора должен быть красным.
Выполните команду генерации событий с необходимыми параметрами:
- Если коллектор не установлен на сервер, а только добавлен в разделе Активные сервисы:
  sudo /opt/kaspersky/kuma/kuma collector --core <FQDN>:<port> --pair.fingerprint <CA_cert_ID> --generator.interval <interval> --id <service_ID> --api.port <API_port>
  
  где:
  - <FQDN> — полное доменное имя сервера Ядра KUMA.
  - <port> — номер порта Ядра KUMA для внутренних коммуникаций (по умолчанию используется порт 7210).
  - <CA_cert_ID> — идентификатор отпечатка CA-сертификата, используемый для проверки подлинности при подключении сервиса.
    Параметр --pair.fingerprint является необязательным. При создании сервиса KUMA автоматически добавляет этот параметр в команду установки и указывает идентификатор отпечатка.
    Вы можете выполнить установку сервиса без указания параметра --pair.fingerprint. В этом случае KUMA использует значение insecure по умолчанию, что не обеспечивает проверку подлинности CA-сертификата Ядра KUMA при установлении соединения. Если используется значение insecure, обновление отпечатка после перевыпуска CA-сертификата не требуется.
    
    Для обеспечения проверки подлинности CA-сертификата Ядра KUMA рекомендуется не удалять параметр --pair.fingerprint с идентификатором отпечатка при установке сервиса. При перевыпуске CA-сертификата необходимо скопировать новый отпечаток сертификата в веб-интерфейсе и перезапустить сервис с обновленным значением параметра.
  - <interval> — значение интервала генерации и отправки событий в секундах. Если значение интервала генерации и отправки событий не указано или равно нулю, события не будут генерироваться.
  - <service_ID> — идентификатор коллектора, скопированный из веб-интерфейса KUMA.
  - <API_port> — номер свободного, неиспользуемого порта API.
- Если коллектор установлен на сервере:
  sudo /opt/kaspersky/kuma/kuma collector --generator.interval <interval> --pair.fingerprint <CA_cert_ID> --id <service_ID> --api.port <API_port>
  
  где:
  - <interval> — значение интервала генерации и отправки событий в секундах. Если значение интервала генерации и отправки событий не указано или равно нулю, события не будут генерироваться.
  - <CA_cert_ID> — идентификатор отпечатка CA-сертификата, используемый для проверки подлинности при подключении сервиса.
    Параметр --pair.fingerprint является необязательным. При создании сервиса KUMA автоматически добавляет этот параметр в команду установки и указывает идентификатор отпечатка.
    Вы можете выполнить установку сервиса без указания параметра --pair.fingerprint. В этом случае KUMA использует значение insecure по умолчанию, что не обеспечивает проверку подлинности CA-сертификата Ядра KUMA при установлении соединения. Если используется значение insecure, обновление отпечатка после перевыпуска CA-сертификата не требуется.
    
    Для обеспечения проверки подлинности CA-сертификата Ядра KUMA рекомендуется не удалять параметр --pair.fingerprint с идентификатором отпечатка при установке сервиса. При перевыпуске CA-сертификата необходимо скопировать новый отпечаток сертификата в веб-интерфейсе и перезапустить сервис с обновленным значением параметра.
  - <service_ID> — идентификатор коллектора, скопированный из веб-интерфейса KUMA.
  - <API_port> — номер свободного, неиспользуемого порта API.

В результате KUMA сгенерирует события и отправит их в нормализатор с учетом указанного интервала.

Вы можете проверить, что события созданы и соответствуют ожиданиям, в разделе События. Дополнительную информацию о проверке вы можете посмотреть в файле /etc/systemd/system/multi-user.target.wants/kuma-collector-<service_ID>.service.

Если полученный результат не соответствует ожиданиям, измените пример события:

Если коллектор не установлен на сервер и добавлен только в разделе Активные сервисы, внесите изменения в поле Пример события в нормализаторе коллектора и сохраните параметры коллектора.
Если коллектор установлен на сервер и остановлен как сервис, внесите изменения в поле Пример события в нормализаторе коллектора, сохраните параметры коллектора, перейдите в раздел Активные сервисы, выберите коллектор и обновите параметры коллектора, нажав на кнопку Обновить.

Если полученный результат соответствует ожиданиям:

Отключите генерацию событий, например, нажав Ctrl+C в консоли интерпретатора командной строки.
Запустите сервис коллектора, если сервис уже установлен на сервер, но был ранее остановлен:
sudo systemctl start kuma-collector-<service_ID>.service

где:

<service_ID> — идентификатор коллектора, скопированный из веб-интерфейса KUMA.
Если коллектор только добавлен в раздел Активные сервисы, но еще не установлен на сервер, установите коллектор на сервер с помощью следующей команды:
sudo /opt/kaspersky/kuma/kuma collector --core <FQDN>:<port> --pair.fingerprint <CA_cert_ID> --id <service_ID> --api.port <API_port> --install

где:
- <FQDN> — полное доменное имя сервера Ядра KUMA.
- <port> — номер порта Ядра KUMA для внутренних коммуникаций (по умолчанию используется порт 7210).
- <CA_cert_ID> — идентификатор отпечатка CA-сертификата, используемый для проверки подлинности при подключении сервиса.
  Параметр --pair.fingerprint является необязательным. При создании сервиса KUMA автоматически добавляет этот параметр в команду установки и указывает идентификатор отпечатка.
  Вы можете выполнить установку сервиса без указания параметра --pair.fingerprint. В этом случае KUMA использует значение insecure по умолчанию, что не обеспечивает проверку подлинности CA-сертификата Ядра KUMA при установлении соединения. Если используется значение insecure, обновление отпечатка после перевыпуска CA-сертификата не требуется.
  
  Для обеспечения проверки подлинности CA-сертификата Ядра KUMA рекомендуется не удалять параметр --pair.fingerprint с идентификатором отпечатка при установке сервиса. При перевыпуске CA-сертификата необходимо скопировать новый отпечаток сертификата в веб-интерфейсе и перезапустить сервис с обновленным значением параметра.
- <service_ID> — идентификатор коллектора, скопированный из веб-интерфейса KUMA.
- <API_port> — порт, используемый для связи с устанавливаемым компонентом.

Назад Устаревшие ресурсы

Юридическая информация Вперед

Вам помогла эта статья?

Что нам нужно улучшить?

Спасибо за ваш отзыв, вы помогаете нам становиться лучше!