О событиях
Служба Event Processor обрабатывает данные, поступающие от объектов мониторинга и от службы Anomaly Detector, в виде событий. Событие – это набор значений из заранее заданного перечня параметров, описывающих то, что произошло на объекте мониторинга. Набор параметров событий зависит от объекта мониторинга и задается в конфигурационном файле для службы Event Processor. Каждому событию присваивается идентификатор, по которому идентифицируются параметры этого события и их значения. В совокупности с метками времени событий идентификаторы определяют историю событий.
Процессор событий предназначен для работы только с категориальными значениями параметров событий. Значения параметров событий преобразуются к строковому типу. Для работы с численными значениями данных телеметрии при обработке потока событий Kaspersky MLAD использует службу Anomaly Detector. Системный администратор может включить обработку инцидентов от службы Anomaly Detector в качестве событий при настройке параметров службы Event Processor.
Событие представляет собой явление, обособленное от других событий, и при этом могут существовать интервалы времени, в течение которых никаких событий не происходило. На регистрацию события могут повлиять такие факторы, как действия персонала, изменение режима работы устройства на предприятии или выполнение специалистом команд на АСУ ТП.
Примеры ситуаций, которые могут привести к регистрации событий в Kaspersky MLAD
Событие регистрируется службой Event Processor один раз. При поступлении потока событий процессор событий распознает ранее выявленные события. В случае обнаружения событий, которые не соответствуют ранее выявленным, процессор событий регистрирует новые события.
Вы можете просматривать полученные события в виде графа или таблицы. Для просмотра событий требуется загрузить их в разделе Процессор событий → История событий. Параметры событий, указанные в конфигурационном файле для службы Event Processor, могут встречаться не во всех событиях, поступающих от объекта мониторинга. Таким образом, при просмотре полученных событий часть параметров может отсутствовать.
