Об инцидентах

Инцидент – это обнаруженное отклонение от ожидаемого (нормального) поведения объекта мониторинга.

В Kaspersky MLAD поддерживает регистрацию инцидентов для следующих источников:

• Элементы ML-моделей. Инцидент регистрируется при достижении значения артефакта элемента ML-модели порога регистрации инцидентов, заданного для этого элемента. Инциденты могут быть зарегистрированы предиктивными элементами ML-модели, элементами на основе диагностических правил и элементами на основе эллиптического конверта.

  В зависимости от заданных параметров элемента ML-модели инцидент может быть зарегистрирован не сразу после достижения заданного порога. При достижении порога регистрации инцидента элемент ML-модели наблюдает за аномальным поведением объекта мониторинга в течение интервала времени, заданного в параметрах соответствующего элемента. Если аномальное поведение объекта мониторинга сохранялось в течение некоторой заданной доли времени от этого интервала, тогда элемент ML-модели регистрирует инцидент.

  Kaspersky MLAD может подавлять регистрацию следующих друг за другом инцидентов от одного и того же элемента ML-модели, если они произошли вскоре после первого инцидента в серии. Для этого используется параметр Период подавления повторных срабатываний (сек.), который вы можете задать в параметрах соответствующего элемента.

  Элемент ML-модели также может повторно регистрировать один и тот же инцидент вплоть до исчезновения аномального поведения. Вы можете регулировать частоту регистрации повторных инцидентов с помощью параметров Период напоминания (сек.) путем изменения соответствующего элемента.

• Детектор Limit Detector. Инцидент регистрируется при достижении значения тега верхнего или нижнего порога блокировки.
• Служба Stream Processor. Инцидент регистрируется при обнаружении потерь данных телеметрии или поступлении наблюдений в Kaspersky MLAD слишком рано или поздно.

При обнаружении отклонения соответствующий источник фиксирует дату, время, релевантные параметры отклонения и сохраняет их в виде записи в разделе Инциденты. Если в Kaspersky MLAD для пользователей или внешних систем созданы подписки на уведомления об инцидентах, то информация об инциденте отправляется адресатам через соответствующие службы Kaspersky MLAD.