Сценарий: анализ инцидентов
В этом разделе приводится последовательность действий, которые требуется выполнить при анализе зарегистрированных Kaspersky MLAD инцидентов.
Функциональность доступна после добавления лицензионного ключа.
Описанный в этом разделе сценарий анализа инцидентов не является четко регламентированным процессом. Состав и порядок действий, предпринимаемых для исследования инцидента и выявления причины его возникновения, зависят от предметной области, уровня знаний технолога или специалиста АСУ ТП, исследующего инцидент, а также наличия дополнительной информации об объекте мониторинга.
Сценарий анализа инцидентов состоит из следующих этапов:
- Просмотр информации о зарегистрированном инциденте
В разделе Инциденты отображаются все зарегистрированные Kaspersky MLAD инциденты, а также подробная информация о времени их начала, ML-модели, которая зарегистрировала инцидент, и экспертные рекомендации, если они были добавлены. Вы можете перейти к просмотру информации об инцидентах одним из следующих способов:
- Просмотр последних инцидентов в разделе Информационная панель
Если вы хотите просмотреть недавно обнаруженный инцидент, в разделе Информационная панель найдите интересующий вас инцидента в таблице Последние инциденты. Для просмотра подробной информации об инциденте нажмите на кнопку
. - Просмотр инцидентов в разделе Инциденты
Если вам известны дата и время начала инцидента, в разделе Инциденты выберите соответствующий период и при необходимости отфильтруйте инциденты. Вы можете изменить интервал времени, в котором отображаются инциденты, используя столбчатую диаграмму или поле выбора даты в верхней части страницы. Для просмотра подробной информации об инциденте нажмите на кнопку
. - Переход из раздела История или Мониторинг
В разделе История или Мониторинг в нижней части страницы нажмите на точку-индикатор в блоке графика артефакта элемента ML-модели для просмотра определенного инцидента. Откроется раздел Инциденты, в котором отобразятся только те инциденты выбранных для просмотра элементов, которые были зарегистрированы в период, представленный выбранной точкой-индикатором (период указан над таблицей инцидентов). Для просмотра подробной информации об инциденте нажмите на кнопку
. - Просмотр подробной информации об инциденте в уведомлении, поступившем по электронной почте
Если для вас была создана подписка на уведомления, при регистрации инцидента вы получите уведомление по электронной почте. Сообщение электронной почты содержит подробную информацию об инциденте и ссылку для перехода в раздел История в веб-интерфейсе Kaspersky MLAD.
- Просмотр последних инцидентов в разделе Информационная панель
- Просмотр информации о группе, к которой отнесен инцидент
В таблице инцидентов в разделе Инциденты информация о группе (при наличии) отображается в столбце Группа инцидентов. Для просмотра всех инцидентов группы выберите вкладку Группы и нажмите на кнопку
рядом с нужной группой. В таблице отобразится информация об инцидентах, отнесенных к выбранной группе, а также экспертные рекомендации, если они были добавлены. Ознакомьтесь с экспертными рекомендациями для отдельных инцидентов и для группы. - Исследование поведения объекта мониторинга в момент обнаружения инцидента
Исследуйте поведение объекта мониторинга в момент обнаружения инцидента.
- Анализ инцидента
Проведите анализ инцидента, учитывая особенности регистрации инцидента в зависимости от типа источника, который его зарегистрировал:
- Forecaster. Предиктивный элемент ML-модели регистрирует инциденты при существенном расхождении между наблюдаемыми (фактическими) значениями тегов и прогнозируемыми значениями тегов. Основываясь на информации, полученной при просмотре динамического пресета по инциденту, а также используя экспертное знание об объекте мониторинга, сформулируйте гипотезу о том, какие теги могли вызвать возникновение инцидента, и изучите их поведение, выбрав соответствующий пресет. Проанализируйте график артефакта элемента ML-модели, переместитесь назад по времени от момента достижения порога ошибки прогноза и изучите поведение тегов в момент начала роста значений ошибки прогноза.
- Rule Detector. По каждому инциденту, зарегистрированному элементом ML-модели на основе диагностического правила, автоматически формируется динамический пресет, в составе которого присутствуют теги, участвующие в критериях правила, и вызвавшие регистрацию инцидента.
- Elliptic Envelope. Эллиптический конверт ML-модели регистрирует инциденты при выявлении состояний, удаление которых от центра области концентрации нормальных состояний сравнялось или превысило установленный порог. При регистрации инцидента формируется динамический пресет, в состав которого включаются теги, при исключении которых из состава ML-модели наблюдается наименьшее отклонение наблюдений от нормального состояния. Проанализируйте график артефакта элемента ML-модели, переместитесь назад по времени от момента достижения порога и изучите поведение тегов в момент начала роста значений отклонения.
- Limit Detector. По каждому инциденту, зарегистрированному детектором Limit Detector, автоматически формируется динамический пресет, в состав которого включается единственный тег-причина возникновения инцидента.
- Stream Processor. Служба Stream Processor регистрирует инциденты до передачи данных телеметрии на обработку в ML-модель. Инциденты регистрируются в случае обнаружения потери данных или наблюдений, поступивших в Kaspersky MLAD слишком рано или поздно.
- Добавление статуса, причины, приоритета, экспертных рекомендаций и комментариев к инциденту
Для каждого инцидента добавьте экспертные рекомендации или комментарии, в которых вы можете указать, является ли инцидент аномалией. Если требуется, вы можете указать приоритет, статус и причину инцидента. Экспертные рекомендации, комментарии к инциденту и причина инцидента отображаются только при просмотре определенного инцидента.
Если вы заранее знаете экспертные рекомендации, приоритет, причину, и/или статус по инцидентам, зарегистрированным конкретным элементом ML-модели, вы можете указать эту информацию в параметрах соответствующего элемента. Заданные экспертные рекомендации, приоритет, причина и/или статус будут автоматически присвоены инцидентам в момент их регистрации этим элементом.
- Изменение группы инцидентов
Укажите для группы статус ее инцидентов и экспертные рекомендации. При необходимости вы можете изменить имя группы. При изменении статуса группы Kaspersky MLAD автоматически изменит статус всех ее инцидентов. Инциденты сохраняют свой статус, если для группы указан статус по умолчанию Не установлен.
Если Kaspersky MLAD некорректно отнес инциденты к группе, вы можете исключить нужные инциденты из ее состава. Вы также можете самостоятельно создать группу и включить в нее нужные инциденты.
