Обогащение событий с помощью словаря

В некоторых источниках событий значения полей событий передаются в виде кодов. При этом для анализа событий может понадобиться отображение описаний на соответствующие коды. Например, коду 1001 может соответствовать описание "Неудачная авторизация".

Для преобразования кодов в текстовые значения в KUMA можно использовать обогащение событий с помощью словаря. В словаре для каждого кода задается соответствующее ему значение. В нормализаторе настраивается правило обогащения с типом источника данных словарь.

При обработке события значение указанного поля используется в качестве ключевого поля для поиска соответствующей записи в словаре. Полученное из словаря значение записывается в указанное целевое поле нормализованного события. Например, если в исходном событии поле event_code содержит значение 1001, а в словаре этому коду соответствует значение "Неудачная авторизация", после обработки события поле Name будет содержать это значение.

Перед началом работы убедитесь, что выполнены следующие условия:

• Источник событий передает код в определенном поле, например event_code.
• В KUMA создан нормализатор для обработки событий источника.
• Подготовлен перечень кодов и соответствующих им описаний.

Настройка обогащения событий с помощью словаря состоит из следующих этапов:

Создание словаря

Словарь содержит пары Ключ – Значение. В качестве ключа используется код события, а в качестве значения – его описание.

Чтобы создать словарь:

1. В веб-интерфейсе KUMA перейдите в раздел Ресурсы → Словари.
2. Создайте словарь типа Словарь.
3. Добавьте в словарь записи, содержащие коды событий и соответствующие им описания.
4. Сохраните словарь.

Cловарь может содержать следующие записи:

Примеры записей словаря

В словаре должны быть указаны все коды, для которых нужно выполнять обогащение событий.

Настройка обогащения в нормализаторе

После создания словаря нужно настроить правило обогащения в нормализаторе.

Чтобы настроить правило обогащения:

1. В веб-интерфейсе KUMA перейдите в раздел Ресурсы → Нормализаторы.
2. Откройте параметры нормализатора, который обрабатывает события источника.
3. Перейдите на вкладку Обогащение.
4. Нажмите на кнопку Добавить обогащение.
5. В раскрывающемся списке Тип источника данных выберите словарь.
6. В поле Название словаря выберите созданный ранее словарь.
7. В раскрывающемся списке Целевое поле выберите поле Name.
8. В раскрывающемся списке Ключевые поля выберите поле исходного события, содержащее код события, например event_code.
9. При необходимости включите переключатель Отладка, чтобы добавить детализацию работы правила обогащения в журнал нормализатора.
10. Нажмите на кнопку ОК.
11. Сохраните изменения нормализатора.

При обработке события значение поля event_code используется как ключ для поиска записи в выбранном словаре. Значение найденной записи записывается в поле Name нормализованного события. Например, если в исходном событии значение поля event_code – 1001, а в словаре для ключа 1001 указано значение Неудачная авторизация, после обогащения поле Name нормализованного события будет содержать значение Неудачная авторизация.

Проверка работы обогащения событий

После настройки нужно отправить в KUMA тестовое событие, содержащее код, который присутствует в словаре.

Чтобы проверить работу обогащения:

1. Отправьте через коллектор тестовое событие, содержащее значение в поле event_code.
2. В веб-интерфейсе KUMA перейдите в раздел События.
3. Найдите обработанное тестовое событие.
4. Проверьте значение поля Name.

Если значение в поле Name отсутствует или отличается от ожидаемого, проверьте следующее:

• В словаре присутствует запись с соответствующим ключом.
• В раскрывающемся списке Ключевые поля выбрано поле, которое содержит код события.
• В качестве целевого поля указано поле Name.
• Измененный нормализатор сохранен и используется коллектором, обрабатывающим тестовое событие.

Обновление словаря (необязательный этап)

При добавлении новых кодов или изменении описаний обновите соответствующие записи словаря.

Чтобы обновить содержимое словаря:

1. В веб-интерфейсе KUMA перейдите в раздел Ресурсы → Словари.
2. Откройте словарь, используемый для обогащения.
3. Добавьте новые записи или измените существующие.
4. Сохраните изменения.

Настроенное в нормализаторе обогащение продолжит использовать этот словарь. Повторно создавать правило обогащения при изменении записей словаря необязательно. KUMA преобразует коды, указанные в исходных событиях, в соответствующие им текстовые значения и запишет их в поле Name нормализованного события.