Определение источников событий

Вы можете настроить определение источников событий, используя один из следующих наборов полей:

• Пользовательский набор полей. Вы можете указать до девяти полей в нужной последовательности. Поле TenantID задавать не требуется, поскольку оно определяется автоматически.
• Набор полей по умолчанию: DeviceProduct, DeviceHostName, DeviceAddress, DeviceProcessName. Порядок полей невозможно изменить.

  Источники определяются, если поля DeviceProduct + DeviceAddress и/или DeviceHostname + TenantID (значение определяется автоматически) в событиях содержат непустые значения. Поле DeviceProcessName может содержать пустое значение. Если поле DeviceProcessName содержит непустое значение и остальные обязательные поля заполнены, решение определяет новый источник.

Алгоритм определения источников событий в зависимости от значений в полях событий

Как настроить определение источников событий

Для мониторинга источника событий одного экземпляра KUMA применяется только один набор полей. При обновлении KUMA до новой версии будет применен набор полей по умолчанию.

Настраивать набор полей для определения источника событий может только пользователь с ролью Главный администратор.

Чтобы настроить определение источников событий:

1. В веб-интерфейсе KUMA перейдите в раздел Состояние источников.
2. На вкладке Список источников событий в меню нажмите Настройки.
3. В открывшемся окне Настройки определения источников выполните одно из следующих действий:
   • Если вы хотите настроить пользовательский набор полей, в раскрывающемся списке Группирующие поля для определения источника выберите поля событий, по которым вы хотите определять источники событий.

     Вы можете указать до девяти полей в нужной последовательности. KUMA будет определять источники, для которых заполнено поле TenantID (определяется автоматически) и хотя бы одно поле из указанных в списке Группирующие поля для определения источника. Для числовых полей 0 является пустым значением. Если для определения источников выбрано одно числовое поле и значение числового поля равно 0, источник не будет определен.

   • Если вы хотите выбрать набор полей по умолчанию, нажмите Применить сопоставление по умолчанию.

     Порядок полей по умолчанию невозможно изменить. Если вы вручную укажете поля в неправильном порядке, отобразится ошибка и кнопка сохранения настроенных параметров будет недоступна. Верная последовательность полей по умолчанию: DeviceProduct, DeviceHostName, DeviceAddress, DeviceProcessName. Минимальная конфигурация для определения источников событий с использованием набора событий по умолчанию: непустые значения в полях событий DeviceProduct + DeviceAddress и/или DeviceHostname + TenantID (определяется автоматически).

4. Нажмите Сохранить.

   После того как вы сохраните измененный набор полей, будет создано событие аудита, все ранее определенные источники будут удалены из веб-интерфейса KUMA и базы данных, назначенные политики мониторинга будут выключены.

5. Перезапустите коллекторы, чтобы изменения вступили в силу и источники событий начали определяться по заданному списку полей.

Настройка определения источников выполнена.

Чтобы просмотреть события, которые относятся к источнику событий:

1. В веб-консоли KUMA в разделе Состояние источников → Список источников событий нажмите на значок стрелки в строке нужного источника событий.

   Под строкой источника откроется график поступления событий.

2. Нажмите на ссылку Cобытий за <количество> дней.

Вы перейдете в раздел События, где отобразится список событий для выбранного источника за последние 5 минут. В запросе автоматически будут указаны значения полей, заданных в параметрах определения источника событий. При необходимости в разделе События можно изменить временной интервал запроса и нажать Выполнить запрос повторно, чтобы просмотреть выборку за указанный промежуток времени.

Ограничения

При определении источников действуют следующие ограничения:

• При использовании набора полей по умолчанию KUMA регистрирует источник событий при условии, что поля DeviceProduct + DeviceAddress и/или DeviceHostname содержатся в сыром событии.

  Если сырое событие не содержит поля DeviceProduct + DeviceAddress и/или DeviceHostname, можно выполнить следующие действия:

  • Настроить обогащение в нормализаторе. Для этого на вкладке нормализатора Обогащение выберите тип данных Событие, укажите значения для параметра Исходное поле, для параметра Целевое поле выберите DeviceProduct + DeviceAddress и/или DeviceHostname и нажмите ОК.
  • Использовать правило обогащения. Для этого выберите тип источника данных Событие, укажите значения для параметра Исходное поле, для параметра Целевое поле выберите DeviceProduct + DeviceAddress и/или DeviceHostname и нажмите Создать. Созданное правило обогащения привяжите к коллектору на шаге Обогащение событий.

  KUMA выполнит обогащение и зарегистрирует источник событий.

• Если в KUMA поступают события с одинаковыми значениями полей, определяющих источник, KUMA регистрирует разные источники при следующих условиях:
  • Значения обязательных полей совпадают, но для событий определяются разные тенанты.
  • Значения обязательных полей совпадают, но для одного из событий указано необязательное поле DeviceProcessName.
  • Значения обязательных полей совпадают, но у данных в этих полях не совпадает регистр.

  Если вы хотите, чтобы KUMA регистрировала для таких событий один источник, вам нужно настроить поля в нормализаторе.