Отслеживание маршрута событий

Чтобы выяснить, от какого подключения поступили события, вы можете использовать параметр Отслеживать маршрут события. Необходимость отслеживать маршрут события может возникать, когда несколько агентов отправляют события в один и тот же коллектор, например в крупной инфраструктуре, где агенты устанавливаются на выделенные серверы WEC и несколько агентов передают события в один и тот же коллектор. Данные о маршруте события могут быть полезны для диагностики проблем с поступлением событий.

Чтобы переключатель Отслеживать маршрут события стал доступен для использования, в агенте следует указать как минимум одну точку назначения с типом internal. Также для отслеживания маршрута событий необходимо, чтобы в коллекторе, который принимает события от агента, был указан коннектор типа internal. После настройки и сохранения агента информация о маршруте агента будет добавлена в поле расширенной схемы событий S.KL_EventRoute.

Поле S.KL_EventRoute появится только для новых событий, которые поступили в коллектор после включения параметра Отслеживать маршрут события. Другие сервисы, через которые проходит событие, включая коллектор и маршрутизатор, анализируют поле S.KL_EventRoute, и, если поле не пустое, при обработке события дописывают свои данные в поле.

Если событие проходит через несколько хостов от отправителя до агента, в поле S.KL_EventRoute сохраняется адрес последнего хоста, который установил соединение с агентом. Если между сервером-отправителем и агентом находится прокси-сервер, в поле будет зафиксирован адрес этого прокси-сервера, при этом на агенте не требуется отдельная настройка прокси-сервера. Коннекторы tcp/udp/http передают по протоколу internal в S.KL_EventRoute адрес хоста, от которого получено событие, а агенты WEC, WMI и ETW указывают имя хоста Windows-сервера, на котором они установлены.

Вы можете включить отслеживание маршрута события одним из следующих способов:

• Создать новый агент, в нем указать точку назначения типа internal и включить параметр Отслеживать маршрут события.
• В существующем агенте добавить вкладку с новым подключением и на этой вкладке указать точку назначения internal. После того как вы укажете точку назначения типа internal, параметр Отслеживать маршрут события станет доступен. Установите переключатель Отслеживать маршрут события в активное положение. После того как вы сохраните параметры агента, перезапустите агент, чтобы применить изменения. Отслеживание маршрута в этом случае действует только для той вкладки, где выбрана точка назначения internal, а не для всего агента.
• Отвязать автоматически созданный агент от коллектора, чтобы агент стал доступен для изменения параметров, или дублировать автоматически созданный агент и продолжить настройку параметров в дубликате агента. После того как вы укажете точку назначения типа internal в доступном для редактирования агенте, параметр Отслеживать маршрут события станет доступен. Установите переключатель Отслеживать маршрут события в активное положение. После того как вы сохраните параметры агента, перезапустите агент, чтобы применить изменения. Отслеживание маршрута в этом случае работает только для тех вкладок, где выбрана точка назначения internal, а не для всего агента.

В карточке события появится раздел Журнал отслеживания событий. В этом разделе отображается информация из поля S.KL_EventRoute в обработанном виде. Идентификаторы сервисов преобразованы в имена сервисов в виде ссылки. Если вы нажмете на имя сервиса, в браузере откроется новая вкладка с карточкой сервиса. Если вы измените название сервиса, имя сервиса также поменяется при отображении в карточке события, причем как для новых событий, так и для уже полученных и обработанных событий. Если вы удалите сервис в разделе Активные сервисы, в карточках событий в разделе Журнал отслеживания событий вместо гиперссылки будет отображаться Удален. Остальные данные о маршруте не будут удалены и продолжат отображаться, включая тип коннектора, FQDN, значение поля SourceAddress и другие параметры маршрута из поля S.KL_EventRoute. Чтобы просмотреть данные о маршруте в сыром виде, вы можете добавить в таблице событий столбец S.KL_EventRoute.

Использование информации о маршруте

Вы можете использовать функцию Extract from JSON или другие функции ClickHouse, чтобы получить нужные части маршрута для отладки. Подробнее о функциях см. в документации ClickHouse по ссылке: https://clickhouse.com/docs/ru/sql-reference/functions/json-functions#jsonextractstringjson-indices-or-keys

В таблице ниже приведены примеры запросов.

Если вам нужна выборка по другому значению из поля S.KL_EventRoute, вы можете посмотреть наименование необходимого параметра в таблице событий в столбце Raw, чтобы использовать его в запросе.