Ресурсы KUMA

Ресурсы – это компоненты KUMA, которые содержат параметры для реализации различных функций: например, установления связи с заданным веб-адресом или преобразования данных по определенным правилам. Из этих компонентов, как из частей конструктора, собираются наборы ресурсов для сервисов, на основе которых в свою очередь создаются сервисы KUMA.

Ресурсы содержатся в разделе веб-интерфейса KUMA Ресурсы в блоке Ресурсы. Доступные типы ресурсов:

• Правила корреляции – в ресурсах этого типа содержатся правила определения в событиях закономерностей, указывающих на угрозы. Если условия, заданные в этих ресурсах, выполняются, создается корреляционное событие.
• Нормализаторы – в ресурсах этого типа содержатся правила для приведения поступающих событий к формату, принятому в KUMA. После обработки в нормализаторе сырое событие становится нормализованным и может обрабатываться другими ресурсами и сервисами KUMA.
• Коннекторы – в ресурсах этого типа содержатся параметры для установления сетевых подключений.
• Правила агрегации – в ресурсах этого типа содержатся правила для объединения нескольких однотипных базовых событий в одно агрегационное событие.
• Правила обогащения – в ресурсах этого типа содержатся правила для дополнения событий информацией из сторонних источников.
• Точки назначения – в ресурсах этого типа содержатся параметры для пересылки событий в пункт дальнейшей обработки или хранения.
• Фильтры – в ресурсах этого типа содержатся условия для отбора отдельных событий из потока событий для дальнейшей их передачи в обработку.
• Правила реагирования – ресурсы этого типа используются в корреляторах для запуска, например, скриптов или задач Kaspersky Security Center при выполнении определенных условий.
• Правила сбора и анализа данных – в ресурсах этого типа содержатся правила, которые позволяют планировать выполнение SQL-запросов с агрегационными функциям в хранилище по заданному расписанию. Далее по данным, полученным от SQL-запросов, осуществляется корреляция.
• Шаблоны уведомлений – ресурсы этого типа используются при рассылке уведомлений о новых алертах.
• Активные листы – ресурсы этого типа используются корреляторами для динамической работы с данными при анализе событий по правилам корреляции.
• Словари – ресурсы этого типа используются для хранения ключей и их значений, которые могут потребоваться другим ресурсам и сервисам KUMA.
• Прокси-серверы – в ресурсах этого типа содержатся параметры использования прокси-серверов.
• Секреты – ресурсы этого типа используются для безопасного хранения конфиденциальной информации (например, учетных данных), которые должны использоваться KUMA для взаимодействия с внешними службами.

При нажатии на тип ресурса открывается окно, в котором отображается таблица с имеющимися ресурсами этого типа. Таблица содержит следующие столбцы:

• Название – название ресурса. Может использоваться для поиска и сортировки ресурсов.
• Последнее обновление – дата и время последнего обновления ресурса. Может использоваться для сортировки ресурсов.
• Создал – имя пользователя, создавшего ресурс.
• Описание – описание ресурса.
• Тип – тип ресурса. Отображается для всех типов ресурсов, кроме типов Правила агрегации, Правила обогащения, Правила сбора и анализа данных, Фильтры, Активные листы, Прокси-серверы.
• Путь до ресурса – адрес в дереве ресурсов. Отображается в дереве папок, начиная от тенанта, в котором создан ресурс.
• Теги – теги, которыми отмечен ресурс. Ресурс может иметь больше одного тега.

  Теги являются частью ресурса и импортируются в случае импорта ресурса.

• Название пакета – имя пакета, из которого ресурс был импортирован из репозитория.
• Коррелятор – список корреляторов, к которым привязано корреляционное правило. Отображается только для ресурсов типа Правила корреляции.

  Если правило не привязано ни к одному коррелятору, в столбце отображается пустое значение. Если в списке есть несколько значений, то эти значения отсортированы в алфавитном порядке. Вы можете фильтровать значения в столбце Коррелятор, нажав на заголовок столбца и выбрав, какие правила корреляции вы хотите отображать в таблице: Без коррелятора или С коррелятором.

  Для правил Общего тенанта отображаются корреляторы тенантов, к которым у вас есть доступ и которые вы выбирали в списке тенантов.

  Значения в столбце Коррелятор доступны только для просмотра. Если вы хотите выполнить действия над корреляторами, вам нужно нажать на правило в таблице и в открывшихся свойствах этого правила перейти на вкладку Корреляторы.

• Техники MITRE – техники матрицы MITRE, которые покрывает это правило корреляции. Отображается только для ресурсов типа Правила корреляции. При наведении курсора мыши на значение отображается название правила.

Максимальный размер таблицы не ограничен. Если вы хотите выбрать все ресурсы, прокрутите таблицу до конца и установите флажок Выбрать все, таким образом все доступные в таблице ресурсы будут выбраны.

В таблице ресурсов в нижней части отображается количество ресурсов из доступных вам тенантов в таблице:

• Всего – общее количество или с учетом примененного фильтра или поиска.
• Выбрано – количество выбранных ресурсов.

При применении фильтров выбранные ресурсы и значение Выбрано сбрасываются. Если количество ресурсов изменится из-за действий другого пользователя (например, удаление), отображаемое количество ресурсов изменится после того, как вы обновите страницу, выполните действие с ресурсом или примените фильтр.

Ресурсы можно расположить по папкам. В левой части окна отображается структура папок: корневые папки соответствуют тенантам и содержат перечень всех ресурсов тенанта. Во всех остальных папках, вложенных в корневую, отображаются ресурсы отдельной папки. Когда папка выбрана, содержащиеся в ней ресурсы отображаются в таблице в правой части окна.

Ресурсы можно создавать, редактировать, копировать, перемещать между папками и удалять. Ресурсы можно также экспортировать и импортировать.

KUMA поставляется с набором предустановленных ресурсов, их можно узнать по названию [OOTB]<название_ресурса>. OOTB-ресурсы защищены от внесения изменений.

Если вы хотите адаптировать предустановленный OOTB-ресурс к инфраструктуре своей организации:

1. В разделе Ресурсы-<тип ресурсов> и выберите OOTB-ресурс, который вы хотите изменить.
2. В верхней части веб-интерфейса KUMA нажмите Дублировать, а затем нажмите Сохранить.
3. В веб-интерфейсе появится новый ресурс с названием [OOTB]<название_ресурса> - копия.
4. Внесите необходимые изменения в созданную копию предустановленного ресурса и сохраните изменения.

Адаптированный ресурс доступен для использования.

Операции с ресурсами

Вы можете управлять ресурсами KUMA: создавать, перемещать, копировать, редактировать и удалять ресурсы, а также импортировать и экспортировать их. Перечисленные операции доступны для всех ресурсов, вне зависимости от типа ресурса.

В таблице ресурсов в нижней части отображается количество ресурсов из доступных вам тенантов в таблице:

• Всего – общее количество или с учетом примененного фильтра или поиска.
• Выбрано – количество выбранных ресурсов.

При применении фильтров выбранные ресурсы и значение Выбрано сбрасываются. Если количество ресурсов изменится из-за действий другого пользователя (например, удаление), отображаемое количество ресурсов изменится после того, как вы обновите страницу, выполните действие с ресурсом или примените фильтр.

Ресурсы KUMA располагаются в папках. Вы можете добавлять, переименовывать, перемещать и удалять папки ресурсов.

Создание, переименование, перемещение и удаление папок с ресурсами

Ресурсы можно расположить по папкам. В левой части окна отображается структура папок: корневые папки соответствуют тенантам и содержат перечень всех ресурсов тенанта. Во всех остальных папках, вложенных в корневую, отображаются ресурсы отдельной папки. Когда папка выбрана, содержащиеся в ней ресурсы отображаются в таблице в правой части окна.

Папки можно создавать, переименовывать, перемещать и удалять.

Чтобы создать папку:

1. Выберите в дереве папку, в которой требуется новая папка.
2. Нажмите на кнопку Добавить папку.

Папка будет создана.

Чтобы переименовать папку:

1. Найдите нужную папку в структуре папок.
2. Наведите курсор на название папки.

   Рядом с названием папки появится значок .

3. В раскрывающемся списке выберите Переименовать.

   Название папки станет доступным для редактирования.

4. Введите новое название папки и нажмите ENTER.

   Название папки не может быть пустым.

Папка будет переименована.

Чтобы переместить папку,

Нажмите название папки и перетащите ее в требуемое место в структуре папок.

Папки невозможно переместить из одного тенанта в другой

Чтобы удалить папку:

1. В структуре папок выберите нужную папку.
2. Правой кнопкой мыши вызовите контекстное меню и выберите Удалить.

   Появится окно подтверждения.

3. Нажмите ОК.

Папка будет удалена.

Программа не удаляет папки, которые содержат файлы или вложенные папки.

Создание, дублирование, перемещение, редактирование и удаление ресурсов

Вы можете создавать, перемещать, копировать, редактировать и удалять ресурсы.

Чтобы создать ресурс:

1. В разделе Ресурсы → <тип ресурса> выберите или создайте папку, в которую требуется добавить новый ресурс.

   Корневые папки соответствуют тенантам. Чтобы ресурс был доступен определенному тенанту, его следует создать в папке этого тенанта.

2. Нажмите на кнопку Добавить <тип ресурса>.

   Откроется окно для настройки параметров выбранного типа ресурсов. Доступные параметры зависят от типа ресурса.

3. Введите уникальное имя ресурса в поле Название.
4. Укажите обязательные параметры (они отмечены красной звездочкой).
5. При желании укажите дополнительные параметры (это необязательное действие).
6. Нажмите Сохранить.

Ресурс будет создан и доступен для использования в сервисах и других ресурсах.

Чтобы переместить ресурс в новую папку:

1. В разделе Ресурсы → <тип ресурса> найдите требуемый ресурс в структуре папок.
2. Установите флажки рядом с ресурсами, которые вы хотите переместить. Можно выбрать сразу несколько ресурсов.

   Рядом с выбранными ресурсами отобразится значок . В нижней части таблицы отобразится количество выбранных ресурсов.

3. Перетащите ресурсы в нужную папку с помощью значка .

Ресурсы будут перемещены в новые папки.

Вы можете перемещать ресурсы только в папки того тенанта, в рамках которого были созданы ресурсы. Перемещение ресурсов в папки другого тенанта недоступно.

Чтобы скопировать ресурс:

1. В разделе Ресурсы → <тип ресурса> найдите требуемый ресурс в структуре папок.
2. Установите флажок рядом с ресурсом, которые вы хотите скопировать, и нажмите Дублировать.

   В нижней части таблицы отобразится количество выбранных ресурсов.

   Отображается окно с параметрами ресурса, который вы выбрали для копирования. Доступные параметры зависят от типа ресурса.

   В поле Название отображается <название выбранного ресурса> - копия.

3. Измените нужные параметры.
4. Введите уникальное имя в поле Название.
5. Нажмите Сохранить.

Копия ресурса будет создана.

Чтобы изменить ресурс:

1. В разделе Ресурсы → <тип ресурса> найдите требуемый ресурс в структуре папок.
2. Выберите ресурс.

   Отображается окно с параметрами выбранного ресурса. Доступные параметры зависят от типа ресурса.

3. Измените нужные параметры.
4. Выполните одно из следующих действий:
   • Нажмите Сохранить, чтобы сохранить изменения.
   • Нажмите Сохранить с комментарием и в открывшемся окне укажите комментарий к сделанным изменениям. Изменения будут сохранены, и комментарий будет добавлен к созданной версии ресурса.

Ресурс будет обновлен, и для него будет создана новая версия. Если этот ресурс используется в сервисе, перезапустите сервис, чтобы он задействовал новую версию ресурса.

Если текущий ресурс недоступен для редактирования (например, невозможно изменить корреляционное правило), можно перейти в карточку другого ресурса, нажав на кнопку Посмотреть. Эта кнопка становится доступной в пакетных ресурсах при нажатии на другой ресурс, связанный с вашим текущим ресурсом.

Если при сохранении изменений ресурса обнаруживается, что текущая версия ресурса была изменена другим пользователем, вам будет предложен выбор из следующих действий:

• Сохранить ваши изменения как новую версию ресурса поверх изменений другого пользователя.
• Сохранить ваши изменения как новый ресурс.

  В этом случае будет создан дубликат изначального ресурса с измененными параметрами. В название нового ресурса будет добавлено - копия, и в комментарии к его версии будут указаны название и версия ресурса, с которого был создан дубликат.

• Отменить ваши изменения.

  Отмененные изменения невозможно восстановить.

Чтобы удалить ресурс:

1. В разделе Ресурсы → <тип ресурса> найдите требуемый ресурс в структуре папок.
2. Установите флажок рядом с ресурсом, которые вы хотите удалить, и нажмите Удалить.

   В нижней части таблицы отобразится количество выбранных ресурсов. Откроется окно подтверждения.

3. Нажмите ОК.

Ресурс и все его сохраненные версии будут удалены.

Массовое удаление ресурсов

В веб-интерфейсе KUMA имеется возможность множественного выбора ресурсов и их удаления.

У вас должны быть права на удаление ресурсов.

Чтобы удалить ресурсы:

1. В разделе Ресурсы → <тип ресурса> найдите требуемые ресурсы в структуре папок.
2. Установите флажок рядом с ресурсами, которые вы хотите удалить.

   В нижней части таблицы отображается общее количество ресурсов и количество выбранных ресурсов.

3. Нажмите Удалить.

   Появится окно, в котором программа сообщает, можно ли безопасно удалить ресурсы, в зависимости от наличия связей выбранных для удаления ресурсов с другими ресурсами.

   Для всех ресурсов, которые не могут быть удалены, программа отображает связи в табличном виде в модальном окне.

4. Нажмите Удалить.

   Удалятся только ресурсы без связей.

Удаление папок с ресурсами

Вы можете выбрать операцию удаления для любой папки, на любом уровне, кроме тенанта.

Чтобы удалить папку с ресурсами:

1. В разделе Ресурсы выберите папку.
2. Нажмите на кнопку и выберите опцию Удалить.

   Откроется окно с запросом подтверждения удаления. В окне отобразится поле для ввода сгенерированного значения. Также при наличии зависимых ресурсов в папке отобразится список зависимостей.

3. Введите сгенерированное значение.
4. Подтвердите удаление.

Вы можете удалить папку, если:

• Папка не содержит вложенных папок и ресурсов.
• Папка не содержит вложенных папок, но содержит несвязанные ресурсы.
• Ни на один из ресурсов папки ничто не ссылается (сервисы, ресурсы, интеграции).

Привязать корреляторы к корреляционному правилу

Для созданных корреляционных правил доступна опция Привязать корреляторы.

Чтобы привязать корреляторы:

1. В веб-интерфейсе KUMA → Ресурсы → Правила корреляции выберите созданное правило корреляции и перейдите на вкладку Корреляторы.
2. В открывшемся окне Корреляторы выберите один или несколько корреляторов, установив рядом флажок.
3. Нажмите ОК.

Корреляторы привязаны к правилу корреляции.

Правило будет добавлено последним в очередь для выполнения в каждом выбранном корреляторе. Если вы хотите поднять правило в очереди выполнения, перейдите в Ресурсы → Корреляторы → <выбранный коррелятор> → Редактирование коррелятора → Корреляция, установите флажок рядом с нужным правилом и воспользуйтесь кнопками Поднять или Опустить, чтобы установить желаемый порядок выполнения правил.

Обновление ресурсов

"Лаборатория Касперского" регулярно выпускает пакеты с ресурсами, доступные для импорта из репозитория. Вы можете указать адрес электронной почты в параметрах задачи Обновление репозитория и после первого выполнения задачи KUMA будет отправлять на указанный адрес уведомления о доступных для обновления пакетах. Вы можете выполнить обновление репозитория, проанализировать содержимое каждого обновления и принять решение об импорте и внедрении новых ресурсов в эксплуатируемую инфраструктуру. KUMA поддерживает обновление c серверов Лаборатории Касперского и из пользовательского источника, в том числе без прямого доступа к интернету с использованием механизма «зеркала обновления». При использовании в инфраструктуре других продуктов Лаборатории Касперского, можно подключить KUMA к уже существующим зеркалам обновления. Подсистема обновления расширяет возможности KUMA по реагированию на изменения ландшафта угроз и инфраструктуры, а возможность её использования без прямого доступа к интернету обеспечивает гарантии конфиденциальности данных, обрабатываемых системой.

Чтобы обновить ресурсы, вам необходимо выполнить следующие шаги:

1. Обновить репозиторий, чтобы доставить в репозиторий пакеты с ресурсами. Обновление репозитория доступно в двух режимах:
   • Автоматическое обновление.
   • Обновление вручную.
2. Импортировать пакеты с ресурсами из обновленного репозитория в тенант.

Чтобы сервис начал использовать обновленные ресурсы, после выполнения импорта убедитесь, что ресурсы привязаны. В случае необходимости привяжите ресурсы к коллекторам, корреляторам или агентам и обновите параметры.

Чтобы настроить автоматическое обновление:

1. В разделе Параметры – Обновление репозитория настройте Интервал обновления в часах. Значение по умолчанию - 24 часа.
2. Укажите Источник обновления. Доступны следующие варианты:
   • Серверы обновления "Лаборатории Касперского"

     

     Серверы расположены в разных странах по всему миру, что обеспечивает высокую надежность обновления. Если обновление невозможно выполнить с одного сервера, KUMA переключается на другой сервер.

     .

     Вы можете посмотреть список серверов обновления в Базе знаний.

   • Пользовательский источник:
     • URL к папке общего доступа на HTTP-сервере.
     • Полный путь к локальной папке на хосте с установленным ядром KUMA.

       В случае использования локальной папки у системного пользователя kuma должен быть доступ для чтения к этой папке и ее содержимому.

3. При необходимости в поле Прокси-сервер выберите из списка существующий прокси-сервер, который должен использоваться при запуске задачи Обновление репозитория.

   Вы также можете создать новый прокси-сервер, нажав на значок плюса ().

4. Укажите Адреса электронной почты для рассылки уведомлений, нажав на кнопку Добавить. На указанные адреса электронной почты будет поступать рассылка уведомлений о том, что в репозитории появились новые пакеты или новая версия тех пакетов, которые вы когда-либо импортировали в тенант.

   Если вы указываете электронную почту пользователя KUMA, в профиле пользователя должен быть установлен флажок Получать уведомления по почте. Для почты, которая не принадлежит ни одному пользователю KUMA, письмо будет приходит без дополнительных настроек. Параметры подключения к SMTP-серверу должны быть указаны во всех случаях.

5. Нажмите Сохранить. Задача обновления запустится автоматически в самое ближайшее время и дальше запуск задачи будет выполнен в соответствии с расписанием.

Чтобы запустить обновление репозитория вручную:

1. Если вы хотите отключить автоматическое обновление, в разделе Параметры – Обновление репозитория установите флажок Отключить автоматическое обновление. По умолчанию флажок снят. Также вы можете запустить обновление репозитория вручную, не отключая автоматическое обновление. Запуск обновления вручную не влияет на график выполнения автоматического обновления.
2. Укажите Источник обновления. Доступны следующие варианты:
   • Серверы обновления "Лаборатории Касперского".
   • Пользовательский источник:
     • URL к папке общего доступа на HTTP-сервере.
     • Полный путь к локальной папке на хосте с установленным ядром KUMA.

       В случае использования локальной папки у пользователя kuma должен быть доступ к этой папке и её содержимому.

3. При необходимости в поле Прокси-сервер выберите из списка существующий прокси-сервер, который должен использоваться при запуске задачи Обновление репозитория.

   Вы также можете создать новый прокси-сервер, нажав на значок плюса ().

4. Укажите Адреса электронной почты для рассылки уведомлений, нажав на кнопку Добавить. На указанные адреса электронной почты будет поступать рассылка уведомлений о том, что в репозитории появились новые пакеты или новая версия тех пакетов, которые вы когда-либо импортировали в тенант.

   Если вы указываете электронную почту пользователя KUMA, в профиле пользователя должен быть установлен флажок Получать уведомления по почте. Для почты, которая не принадлежит ни одному пользователю KUMA, письмо будет приходит без дополнительных настроек. Параметры подключения к SMTP-серверу должны быть указаны во всех случаях.

5. Нажмите Запустить обновление. Таким образом, вы одновременно сохраните настройки и вручную запустите выполнение задачи Обновление репозитория.

Настройка пользовательского источника с использованием Kaspersky Update Utility

Вы можете обновлять ресурсы без доступа к интернету через пользовательский источник обновления с помощью утилиты Kaspersky Update Utility.

Настройка состоит из следующих шагов:

1. Настройка пользовательского источника с помощью Kaspersky Update Utility:
   1. Установка и настройка Kaspersky Update Utility на одном из компьютеров локальной сети организации.
   2. Настройка копирования обновлений в папку общего доступа в параметрах Kaspersky Update Utility.
2. Настройка обновления репозитория KUMA из пользовательского источника.

Настройка пользовательского источника с помощью Kaspersky Update Utility:

Вы можете загрузить дистрибутив Kaspersky Update Utility с веб-сайта Службы технической поддержки "Лаборатории Касперского".

1. В Kaspersky Update Utility включите скачивание обновлений для KUMA версии 2.1:
   • В разделе Программы - Контроль периметра установите флажок рядом с KUMA 2.1, чтобы включить возможность обновления.
   • Если вы работаете с Kaspersky Update Utility через командную строку, в конфигурационном файле updater.ini в секции [ComponentSettings] добавьте следующую строку или укажите значение true для уже существующей строки:

     KasperskyUnifiedMonitoringAndAnalysisPlatform_3_4=true

2. В разделе Загрузки укажите источник обновлений. По умолчанию в качестве источника используются сервера обновления "Лаборатории Касперского".
3. В разделе Загрузки в группе параметров Папки для обновлений укажите папку общего доступа, в которую Kaspersky Update Utility будет загружать обновления. Доступны следующие варианты:
   • Укажите локальную папку на хосте, где установлена Kaspersky Update Utility. Разверните HTTP-сервер, который будет отдавать обновления, и опубликуйте на нем эту локальную папку. В KUMA в разделе Параметры - Обновление репозитория - Пользовательский источник укажите URL к локальной папке, опубликованной на HTTP-сервере.
   • Укажите локальную папку на хосте, где установлена Kaspersky Update Utility. Сделайте эту локальную папку доступной по сети. Примонтируйте доступную по сети локальную папку на хосте с KUMA. В KUMA в разделе Параметры - Обновление репозитория - Пользовательский источник укажите полный путь к этой локальной папке.

Подробную информацию о работе с Kaspersky Update Utility см. в Базе знаний "Лаборатории Касперского".

Экспорт ресурсов

Если для пользователя скрыты общие ресурсы, он не может экспортировать ни общие ресурсы, ни ресурсы, в которых используются общие ресурсы.

Чтобы экспортировать ресурсы:

1. В разделе Ресурсы нажмите Экспортировать ресурсы.

   Откроется окно Экспортировать ресурсы с деревом всех доступных ресурсов.

2. В поле Пароль введите пароль, который необходимо использовать для защиты экспортируемых данных.
3. В раскрывающемся списке Тенант выберите тенант, ресурсы которого вы хотите экспортировать.
4. Установите флажки рядом с ресурсами, которые вы хотите экспортировать.

   Если выбранные ресурсы связаны с другими ресурсами, эти ресурсы также будут экспортированы. В нижней части таблицы отображается количество выбранных ресурсов.

5. Нажмите на кнопку Экспортировать.

Текущие версии ресурсов в защищенном паролем файле сохранятся на вашем компьютере в зависимости от параметров вашего браузера. Предыдущие версии ресурсов не будут сохранены в файле. Ресурсы секретов экспортируются пустыми.

Чтобы экспортировать предыдущую версию ресурса:

1. В веб-интерфейсе KUMA в разделе Ресурсы выберите необходимый тип ресурсов.

   Откроется окно с таблицей доступных ресурсов этого типа.

   Если вы хотите просмотреть все ресурсы, в разделе Ресурсы перейдите на вкладку Список.

2. Установите флажок напротив ресурса, историю изменений которого вы хотите просмотреть, и нажмите на кнопку Показать историю версий в верхней части таблицы.

   Откроется окно с историей версий ресурса.

3. Нажмите на строку версии ресурса, которую вы хотите экспортировать, и нажмите на кнопку Экспорт в нижней части открывшегося окна.

   Вы можете экспортировать только предыдущую версию ресурса. Кнопка Экспорт не отображается при выборе текущей версии ресурса.

Версия ресурса сохранится в файле JSON на вашем компьютере в зависимости от параметров вашего браузера.

Импорт ресурсов

При работе с KUMA 3.4 рекомендуется использовать ресурсы из пакета [OOTB] KUMA 3.4 resources и ресурсы, опубликованные в репозитории после выхода этого пакета.

Чтобы импортировать ресурсы:

1. В разделе Ресурсы нажмите Импорт ресурсов.

   Откроется окно Импорт ресурсов.

2. В раскрывающемся списке Тенант выберите тенанта, которому будут принадлежать импортируемые ресурсы.
3. В раскрывающемся списке Источник импорта выберите один из следующих вариантов:
   • Файл

     При выборе этого варианта необходимо указать пароль и нажать на кнопку Импортировать.

   • Репозиторий

     При выборе этого варианта отображается список доступных для импорта пакетов. Мы рекомендуем убедиться, что дата обновления репозитория относительно недавняя и при необходимости настроить автоматическое обновление.

     Вы можете выбрать один или несколько пакетов для импорта и нажать на кнопку Импортировать. Зависимые ресурсы Общего тенанта будут импортированы в Общий тенант, остальные ресурсы будут импортированы в выбранный тенант. Отдельных прав для учетной записи на Общий тенант не требуется, необходимо только наличие права на импорт в выбранном тенанте.

     Импортированные ресурсы с пометкой Этот ресурс входит в пакет. Его можно удалить, но он недоступен для редактирования. можно только удалить. Если вы хотите переименовать, изменить или переместить импортированный ресурс, вам следует сделать дубликат ресурса с помощью кнопки Дублировать и с дубликатом выполнить желаемые действия. При импорте следующих версий пакета дубликат не будет обновлен, поскольку он уже представляет собой отдельный объект.

     Импортированные ресурсы, расположенные в папке Integration, можно изменить. Подобные ресурсы имеют пометку Этот ресурс входит в пакет. К пакетному ресурсу, размещенному в папке Integration, допускается добавление Словаря с типом Таблица, добавление иных ресурсов не допускается. При импорте следующих версий пакета измененный ресурс не будет заменен на аналогичный ресурс из пакета, что позволит сохранить внесенные изменения.

4. Разрешите конфликты между импортированными из файла и существующими ресурсами, если они возникли. Подробнее о конфликтах ресурсов см. ниже.
   1. Если имя, тип и guid импортированных ресурсов полностью совпадает с именем, типом и guid существующего ресурса, открывается окно Конфликты с таблицей, в которой отображаются тип и имя конфликтующих ресурсов. Разрешите отображаемые конфликты:
      • Если вы хотите заменить существующий ресурс новым, нажмите Заменить.

        Нажмите Заменить все, чтобы заменить все конфликтующие ресурсы.

      • Если вы хотите оставить существующий ресурс, нажмите Пропустить.

        Для зависимых ресурсов – то есть привязанных к другим ресурсам – недоступна опция Пропустить, зависимые ресурсы можно только Заменить.

        Нажмите Пропустить все, чтобы сохранить все существующие ресурсы.

   2. Нажмите на кнопку Устранить.

   Ресурсы импортируются в KUMA. Ресурсы секретов импортируются пустыми.

Импорт ресурсов, использующих расширенную схему событий

Если вы импортируете нормализатор, использующий одно или несколько полей расширенной схемы событий, в KUMA будет автоматически создано поле расширенной схемы, использующееся в нормализаторе.

Если вы импортируете другие типы ресурсов, использующих в своей логике поля расширенной схемы событий, ресурсы будут успешно импортированы. Для обеспечения работы импортированных ресурсов необходимо создать соответствующие поля расширенной схемы в разделе Параметры → Поля расширенной схемы событий или импортировать нормализатор, использующий необходимые поля.

Если в KUMA будет импортирован нормализатор, использующий поле расширенной схемы событий и такое поле уже существует в KUMA, будет использовано созданное ранее поле.

Если в KUMA будет импортирован нормализатор, использующий поле расширенной схемы событий, не соответствующее требованиям KUMA, импорт будет выполнен, но поле расширенной схемы событий будет создано со статусом Выключено и вы не сможете использовать это поле в других нормализаторах и ресурсах. Поле расширенной схемы событий не соответствует требованиям, например, если его имя содержит специальные символы или пробел. Если вы захотите использовать такое поле, не соответствующее требованиям, вам нужно исправить проблемы (например, изменить имя) и включить поле.

О разрешении конфликтов

Когда ресурсы импортируются в KUMA из файла, программа сравнивает их с существующими ресурсами, сверяя следующие параметры:

• Имя и тип. Если имя и тип импортируемого ресурса совпадают с параметрами существующего ресурса, имя импортированного ресурса автоматически изменяется.
• Идентификатор. Если идентификаторы двух ресурсов совпадают, возникает конфликт, который должен разрешить пользователь. Такая ситуация может возникнуть, когда вы импортируете ресурсы на тот же сервер KUMA, с которого они были экспортированы.

При разрешении конфликта вы можете либо заменить существующий ресурс импортированным, либо оставить существующий ресурс.

При этом в случае конфликта импортируемый ресурс будет добавлен в качестве новой версии существующего ресурса. К этой версии будет добавлен комментарий ресурс импортирован.

Некоторые ресурсы связаны между собой: например, в некоторых типах коннекторов обязательно нужно указывать секрет коннектора. Секреты также импортируются, если они привязаны к коннектору. Такие связанные ресурсы экспортируются и импортируются вместе.

Особенности импорта:

1. Ресурсы импортируются в выбранный тенант.
2. Если связанный ресурс находился в Общем тенанте, при импорте он снова будет в Общем тенанте.
3. В окне Конфликты в столбце Родительский объект всегда отображается самый верхний родительский ресурс из выбранных при импорте.
4. Если во время импорта возникает конфликт, и вы выбираете замену существующего ресурса новым, все связанные с ним ресурсы также будут автоматически заменены импортированными ресурсами.

Известные ошибки:

1. Привязанный ресурс попадает в тенант, указанный при импорте, а не в Общий тенант, как указано в окне Конфликты, при следующих условиях:
   1. Привязанный ресурс изначально находится в Общем тенанте.
   2. В окне Конфликты вы выбираете Пропустить для всех родительских объектов привязанного ресурса из Общего тенанта.
   3. Привязанный ресурс из Общего тенанта оставляете для замены.
2. После выполнения импорта в фильтре у категорий не указан тенант при следующих условиях:
   1. Фильтр содержит привязанные категории активов из разных тенантов.
   2. Имена категорий активов одинаковы.
   3. Вы импортируете этот фильтр с привязанными категориями активов на новый сервер.
3. В Тенант 1 дублируется имя категории активов при следующих условиях:
   1. В Тенант 1 у вас есть фильтр с привязанными категориями активов из Тенант 1 и Общего тенанта.
   2. Имена привязанных категорий активов одинаковы.
   3. Вы импортируете такой фильтр из Тенант 1 в Общий тенант.
4. Невозможно импортировать конфликтующие ресурсы в один тенант.

   Ошибка Невозможно импортировать конфликтующие ресурсы в один тенант означает, что в импортируемом пакете есть конфликтующие ресурсы из разных тенантов и их нельзя импортировать в Общий тенант.

   Решение: Выберите для импорта пакета другой тенант, не Общий. Тогда при импорте ресурсы, изначально расположенные в Общем тенанте, будут импортированы в Общий тенант, а ресурсы из другого тенанта — в выбранный при импорте тенант.

5. Только главный администратор может импортировать категории в Общий тенант.

   Ошибка Только главный администратор может импортировать категории в Общий тенант означает, что в импортируемом пакете есть ресурсы с привязанными общими категориями активов. Категории или ресурсы с привязанными общими категориями активов можно увидеть в журнале Ядра KUMA. Путь к журналу Ядра:

   /opt/kaspersky/kuma/core/log/core

   Решение. Выберите один из следующих вариантов:

   • Уберите из импорта ресурсы, к которым привязаны общие категории: снимите флажок рядом с соответствующими ресурсами.
   • Выполните импорт под учетной записью пользователя с правами Главного администратора.
6. Только главный администратор может импортировать ресурсы в Общий тенант.

   Ошибка Только главный администратор может импортировать ресурсы в Общий тенант означает, что в импортируемом пакете есть ресурсы с привязанными общими ресурсами. Ресурсы с привязанными общими ресурсами можно увидеть в журнале Ядра KUMA. Путь к журналу Ядра:

   /opt/kaspersky/kuma/core/log/core

   Решение. Выберите один из следующих вариантов:

   • Уберите из импорта ресурсы, к которым привязаны ресурсы из Общего тенанта, и сами общие ресурсы: снимите флажок рядом с соответствующими ресурсами.
   • Выполните импорт под учетной записью пользователя с правами Главного администратора.

Поиск ресурсов

Вы можете искать ресурсы по названию или тегам. Вы также можете искать ресурсы по всем их полям с помощью полнотекстового поиска. Для типа ресурсов Правила корреляции доступен полнотекстовый поиск по корреляторам, в которых правила используются. При поиске по фильтру будут найдены все ресурсы, которые его используют.

Поиск осуществляется только по последней версии ресурсов.

Чтобы найти нужные ресурсы:

1. В веб-интерфейсе KUMA в разделе Ресурсы выберите необходимый тип ресурсов.

   Откроется окно с таблицей доступных ресурсов этого типа.

   Если вы хотите просмотреть все ресурсы, в разделе Ресурсы перейдите на вкладку Список.

2. При необходимости, чтобы переключить режим поиска, нажмите на значок таблицы в верхней части таблицы ресурсов.

   Доступны поиск по названию, тегам и полнотекстовый поиск по всем полям ресурса. По умолчанию активен поиск по названию, тегам и корреляторам (только для правил корреляции).

   Вы можете определить, какой режим поиска активен, по тексту, который отображается в поле поиска по умолчанию.

3. В поле Поиск начните вводить текст поиска.

   Поиск инициируется во время ввода символов в поле и не чувствителен к регистру. В таблице отображаются только те ресурсы, которые удовлетворяют условиям поиска, и в нижней части таблицы отображается количество таких ресурсов.

   Для полнотекстового поиска результаты отсортированы по количеству слов в поисковой строке, найденных в полях ресурса, от большего к меньшему. KUMA выполняет поиск по JSON ресурса, если в нем указан другой ресурс, выполняет поиск по указанному ресурсу тоже. Если ресурс ссылается на другие ресурсы, KUMA также переходит в эти ресурсы и ищет по их содержимому.

4. Если вы хотите сбросить результат поиска, очистите поле Поиск или нажмите на значок .

Управление тегами

Для работы с ресурсами в веб-интерфейсе KUMA предусмотрена возможность добавлять теги для ресурсов, что позволяет вам осуществлять поиск нужного компонента, а также управлять тегами, отвязывать или привязывать теги.

Невозможно добавлять теги в ресурсы, которые создаются из интерфейса других ресурсов. Теги можно добавлять только из карточки самого ресурса. Также невозможно добавлять теги к ресурсу, недоступному для редактирования.

Управление тегами

Список тегов отображается в разделе Параметры → Теги и представлен в виде таблицы со следующими столбцами: Название, Тенант, Использовано в ресурсах.

В таблице Теги вы можете выполнять следующие действия:

• Сортировать теги по полям Название, Использовано в ресурсах.
• Фильтровать значения поля Тенант.
• Осуществлять поиск тега по полю Название.
• Переходить к списку ресурсов по выбранному тегу.

Добавление тега

Чтобы добавить тег:

1. Перейдите в раздел Ресурсы и выберите нужный ресурс.
2. В панели над таблицей нажмите Добавить.
3. В поле Теги выбранного ресурса добавьте новый тег или выберите тег из списка.
4. Нажмите Создать.

Новый тег будет добавлен.

Вы также можете добавлять теги из уже существующих.

При добавлении тега следует учитывать следующие особенности:

• Вы можете добавить несколько тегов.
• Тег может содержать буквы различных алфавитов (например, символы кириллицы, латиницы или греческого алфавита), цифры, знак нижнего подчеркивания и пробел.
• Тег не может содержать другие специальные символы, кроме нижнего подчеркивания и пробела.
• Вы можете вводить тег в любом регистре, но после сохранения тег будет всегда отображаться в нижнем регистре.
• Тег наследует тенант ресурса, в котором используется.
• Тег является частью ресурса и существует, пока существует ресурс, в котором тег был создан или используется.
• Теги уникальны в рамках тенанта.
• Теги импортируются или экспортируются вместе с ресурсом как часть ресурса.

Поиск по тегам

В разделе Ресурсы вы можете осуществить поиск ресурсов

• По тегам.
• По наименованию ресурсов.

Поиск осуществляется по всем типам ресурсов и сервисов.

В результате поиска отображается список ресурсов и сервисов.

Чтобы найти нужные ресурсы по тегам:

1. Перейдите в раздел Ресурсы и выберите нужный ресурс.
2. В таблице ресурса выберите столбец Теги.
3. В появившемся поле Поиск введите или выберите название тега.

   Поиск по тегу в самом ресурсе и в списке ресурсов осуществляется как при полном, так и частичном совпадении введенного текста с названием тега.

Отображается список ресурсов, если в этих ресурсах используется указанный тег.

В списке ресурсов вы можете выполнять следующие действия:

• Сортировать список по наименованию, типу ресурса или сервиса.
• Фильтровать ресурсы или сервисы по типу ресурса или сервиса, тегу.
• Привязать и/или отвязать теги.

Отображение тегов при добавлении зависимых ресурсов

При добавлении зависимого ресурса в выпадающем списке отображаются теги этого ресурса в разделе Параметры фильтра.

Теги ресурса, которые не вмещаются в одну строку, скрываются. О скрытых имеющихся тегах говорит специальный признак.

Фильтрация выпадающего списка осуществляется по наименованию ресурса и его тегам.

Привязка и отвязка тегов

Чтобы привязать теги к ресурсу или отвязать теги от ресурса:

1. Перейдите в раздел Ресурсы.
2. Выберите вкладку Список.
3. В столбце Название установите флажки рядом с необходимыми ресурсами.
4. В панели над списком выберите вкладку Теги.
5. Нажмите на кнопку Привязать или Отвязать, выберите необходимые теги или создайте новый тег.

Выбранные теги будут привязаны к ресурсам или отвязаны от него.

Вы также можете привязать или отвязать теги в карточке ресурса.

Трассировка использования ресурсов

Для устойчивой работы KUMA важно понимать, как одни ресурсы влияют на работоспособность других ресурсов, какие связи есть между ресурсами и другими объектами KUMA. Эти взаимозависимости вы можете отобразить визуально на интерактивном графе в веб-интерфейсе KUMA.

Отображение связей ресурса на графе

Чтобы отобразить связи выбранного ресурса:

1. В веб-консоли KUMA в разделе Ресурсы выберите тип ресурса.

   Отобразится список ресурсов выбранного типа.

2. Выберите необходимый ресурс.

   Кнопка Показать зависимости, расположенная в панели над списком ресурсов, станет активной. Если у вас недостаточно широкий экран, кнопка может быть скрыта под значком .

3. Нажмите на кнопку Показать зависимости.

   Откроется окно графа зависимостей для выбранного ресурса. Если у вас нет прав на просмотр ресурса, то на графе он будет помечен иконкой (недоступный ресурс). При необходимости окно графа можно закрыть, чтобы вернуться к списку ресурсов.

Граф зависимостей ресурсов

На графе отображаются все связи, которые формируются на основе универсального уникального идентификатора (UUID) ресурсов, используемых в конфигурации ресурса, выбранного для отображения, а также связи ресурсов, которые имеют UUID выбранного ресурса в своей конфигурации. Связи "вниз", то есть ресурсы, на которые ссылается (использует) выбранный ресурс, показываются до последнего уровня, а связи "вверх", то есть ресурсы, которые ссылаются на выбранный ресурс – только на один уровень.

На графе вы можете посмотреть зависимости следующих ресурсов:

• правила корреляции;
• правила агрегации;
• правила обогащения;
• правила реагирования;
• правила data mining;
• нормализаторы;
• коннекторы;
• точки назначения;
• фильтры;
• шаблоны уведомлений;
• активные листы;
• словари;
• прокси-серверы;
• секреты;
• контекстные таблицы;
• коллекторы;

  Особенность отображения связей: если для отображения связей был выбран, первично, коллектор, то связи "вверх" показываться не будут.

• корреляторы;
• хранилища;
• агенты (автоагенты);

  Особенность отображения связей: если выбран агент для отображения связей, то коллектор будет показан с типом связи linked, только если коллектор запущен как сервис и в агенте коллектор корректно (fqdn+port) указан в точке назначения.

• маршрутизаторы событий;

  Особенность отображения связей: если для отображения связей был выбран, первично, маршрутизатор событий, то связи "вверх" показываться не будут.

• интеграции;

  Название интеграции соответствует названию вкладки в разделе Интеграции.

• группа ресурсов;

  Число перед скобками указывает на количество отображенных на графе ресурсов из группы, число в скобках указывает на общее количество ресурсов в группе.

• недоступный ресурс (при отсутствии прав на просмотр).

При нажатии на узел ресурса вы можете посмотреть следующие данные о ресурсе:

• Имя

  Содержит ссылку на ресурс, при нажатии на ссылку этот ресурс открывается в отдельной вкладке, окно графа не закрывается.

• Тип
• Путь

  Путь ресурса без ссылки.

• Теги
• Тенант
• Название пакета

Вы можете открыть контекстное меню ресурса и выполнить следующие действия:

• Показать связи ресурса.

  Отобразятся зависимости выбранного ресурса.

• Скрыть ресурс на графе.

  Скрывается выбранный ресурс. Ресурсы уровня ниже, на которые ссылается выбранный ресурс, помечаются "*", как имеющие скрытые связи. Ресурсы, которые ссылаются на скрываемый ресурс, помечаются значком , как имеющие скрытые связи. При этом граф разрывается.

• Скрыть связи "вниз" у этого ресурса на графе.

  Выбранный ресурс остается. Скрываются только те ресурсы нижнего уровня, у которых нет больше связей первого верхнего уровня на графе. Ресурсы, на которые ссылались ресурсы первого (скрываемого) уровня, помечаются "*", как имеющие скрытые связи.

• Скрыть все ресурсы этого типа на графе.

  Скрываются все ресурсы выбранного типа. Эта операция применяется для каждого ресурса выбранного типа.

• Обновить связи ресурса.

  Вы можете обновить состояние ресурса, если ресурс был изменен другим пользователем во время работы с графом. Отображается изменение только видимых связей.

• Сгруппировать.

  Если на экране нет узла группы: узел группы появляется на экране, ресурсы c типом выбранного ресурса, а также ресурсы, ссылающиеся на один ресурс, скрываются. Ребра перерисовываются от группы. Кнопка Сгруппировать доступна, только когда есть более 10 однотипных ссылок на ресурс.

  Если на экране есть узел группы: ресурс скрывается и добавляется в группу, ребра перерисуются от группы.

На графе отображаются несколько типов связи:

• Сплошная линия без надписи.

  Показывает прямую связь по UUID, в том числе использование секретов и прокси в интеграциях.

  

• Линия с надписью <имя_функции>.

  Показывает использование активного листа в корреляционном правиле.

  

• Пунктирная линия надписью linked.

  Показывает связь по URL, например, точки назначения с коллектором, или точки назначения с хранилищем.

  

Ресурсы, созданные инлайн, показываются на графе пунктирной линией с типом linked.

Не рекомендуется строить большие графы зависимостей. Рекомендуемое число узлов – до 100.

При открытии графа выбранный для просмотра ресурс будет некоторое время подсвечен мигающим кругом, так чтобы отличаться от остальных ресурсов графически и фокус внимания был именно на нем.

На графе вы можете посмотреть карту графа, чтобы понимать, в какой части графа вы находитесь. Вы можете воспользоваться селектором и передвигать его для отображения нужной части графа.

По кнопке Упорядочить вы можете улучшить отображение ресурсов на графе.

При выборе опции Отобразить связи фокус на графе не меняется, а ресурсы отображаются так, чтобы не пришлось возвращаться в начальное место.

При выборе на графе узла группы появляется боковая панель, в которой вы можете скрыть или отобразить ресурсы, входящие в группу. Для этого установите флажок рядом с нужным ресурсом и нажмите на кнопку Отобразить на графе или Скрыть на графе.

Граф сохраняет свое состояние, если пользователь отобразил что-то на графе, затем перешел в редактирование ресурса и снова открыл вкладку с графом.

Ранее отображенные ресурсы на графе остаются на своих местах при добавлении новых ресурсов на граф.

При закрытии графа все изменения сбрасываются.

После того, как связи ресурсов отрисованы на графе, вы можете осуществлять поиск узла:

• по имени;
• по тегу;
• по пути;
• по пакету.

Узлы, в том числе и группы, попадающие под критерий отбора, выделяются визуально – желтым кругом.

На графе вы можете использовать фильтр по типам ресурсов:

• Скрывать или отображать ресурсы определенного типа.
• Скрывать ресурсы нескольких типов. Отображать все типы ресурсов.

При закрытом окне фильтра можно увидеть выбранные фильтры по индикатору – красной точке в панели инструментов.

Ваши действия при работе с графом сохраняются в память (последние 50 действий), изменения можно отменить с помощью комбинации клавиш CTRL/COMMAND + Z.

Отображаемый граф можно сохранять в файл в формате SVG. В файле сохранится видимая часть графа.

Версионирование ресурсов

KUMA хранит историю изменения ресурсов в виде версий. Версия ресурса создается автоматически, когда вы создаете новый ресурс или сохраняете изменения параметров в существующем ресурсе.

История изменений недоступна для ресурса Словари. Для хранения истории изменения словарей вы можете экспортировать данные.

Версии ресурсов хранятся в течение срока, указанного в разделе Параметры. Когда срок хранения версии ресурса достигает указанного значения, версия удаляется автоматически.

Вы можете просматривать историю изменений ресурсов KUMA, сравнивать версии, а также восстановить предыдущую версию ресурса, например, если необходимо восстановить его работоспособность.

Чтобы просмотреть историю изменений ресурса:

1. В веб-интерфейсе KUMA в разделе Ресурсы выберите необходимый тип ресурсов.

   Откроется окно с таблицей доступных ресурсов этого типа.

   Если вы хотите просмотреть все ресурсы, в разделе Ресурсы перейдите на вкладку Список.

2. Установите флажок напротив ресурса, историю изменений которого вы хотите просмотреть, и нажмите на кнопку Показать историю версий в верхней части таблицы.

Откроется окно с таблицей сохраненных версий для выбранного ресурса. Для новых ресурсов существует только одна текущая версия.

Для каждой версии в таблице отображается следующая информация:

• Версия – порядковый номер версии ресурса. При сохранении изменений в ресурсе и создании новой версии порядковый номер увеличивается на 1.

  Версия с наибольшим номером и недавней датой публикации отражает актуальное состояние ресурса. Версия 1 отражает состояние ресурса при его создании.

• Опубликовано – дата и время, когда версия ресурса была создана.
• Автор – логин пользователя, сохранившего изменения ресурса.

  Если изменения были сделаны системой или с помощью скрипта миграции, отображается system.

• Комментарий – текстовый комментарий, указанный автором при сохранении изменений, или системный комментарий, описывающий сделанные изменения.
• Срок хранения – количество дней и дата, после которых версия ресурса будет удалена.

  При необходимости вы можете настроить срок хранения для версий ресурсов.

• Действия – кнопка восстановления версии ресурса.

Вы можете отсортировать таблицу версий ресурса по столбцам Версия, Опубликовано и Автор, нажав на заголовок и выбрав По возрастанию или По убыванию. Вы также можете отобразить в таблице изменения, сделанные только конкретным автором или авторами, нажав на заголовок столбца Автор и выбрав нужных авторов.

Если вы хотите просмотреть состояние ресурса в конкретной версии, вам нужно нажать на эту версию в таблице. Откроется окно с ресурсом этой версии, в котором вы можете выполнять следующие действия:

• просмотреть параметры, указанные в этой версии ресурса;
• восстановить эту версию ресурса, нажав на кнопку Восстановить;
• экспортировать эту версию ресурса в JSON-файл, нажав на кнопку Экспорт.

Сравнение версий ресурса

Вы можете сравнивать любые две версии ресурса, например, если вам нужно отслеживать внесенные изменения.

Чтобы сравнить версии ресурса:

1. В веб-интерфейсе KUMA в разделе Ресурсы выберите необходимый тип ресурсов.

   Откроется окно с таблицей доступных ресурсов этого типа.

   Если вы хотите просмотреть все ресурсы, в разделе Ресурсы перейдите на вкладку Список.

2. Установите флажок напротив нужного ресурса и нажмите на кнопку Показать историю версий в верхней части таблицы.

   Откроется окно с историей версий ресурса.

3. Установите флажки напротив двух версий ресурса, которые вы хотите сравнить, и нажмите на кнопку Сравнить в верхней части таблицы.

Отобразится окно сравнения версий ресурса. Поля ресурсов отобразятся в виде списка или в формате JSON. Различия между двумя версиями будут выделены цветом. Вы можете выбрать другие версии для сравнения с помощью раскрывающихся списков над полями ресурсов.

Восстановление версии ресурса

Вы можете восстановить предыдущую версию ресурса, например, если вам нужно восстановить работоспособность ресурса в случае ошибок при внесении изменений.

Версии автоматически созданных агентов невозможно восстановить отдельно, так как они создаются при изменении родительского коллектора. Если вы хотите восстановить версию автоматически созданного агента, вам нужно восстановить соответствующую версию родительского коллектора.

Чтобы восстановить предыдущую версию ресурса:

1. В веб-интерфейсе KUMA в разделе Ресурсы выберите необходимый тип ресурсов.

   Откроется окно с таблицей доступных ресурсов этого типа.

   Если вы хотите просмотреть все ресурсы, в разделе Ресурсы перейдите на вкладку Список.

2. Установите флажок напротив нужного ресурса и нажмите на кнопку Показать историю версий в верхней части таблицы.

   Откроется окно с историей версий ресурса.

3. В строке нужной версии в столбце Действие нажмите на кнопку Восстановить.

   Вы также можете восстановить версию, нажав на строку этой версии и нажав на кнопку Восстановить в нижней части окна.

   Вы можете восстановить только предыдущие версии ресурса; для текущей версии кнопка Восстановить недоступна.

   Если после обновления KUMA изменилась структура ресурса, восстановление его сохраненных версий может быть недоступно.

4. Подтвердите действие и при необходимости укажите комментарий. Если вы не укажете комментарий, к версии автоматически будет добавлен комментарий Восстановлена из версии v.<номер восстанавливаемой версии>.

Версия ресурса будет восстановлена как новая версия и станет текущей.

Если ресурс, версию которого вы восстановили, добавлен в активный сервис, состояние сервиса также изменится. Необходимо перезагрузить сервис, чтобы применить изменение ресурса.

Настройка срока хранения версий ресурсов

Вы можете изменить срок хранения версий ресурсов в веб-интерфейсе KUMA в разделе Параметры → Общие, изменив значение параметра Срок хранения истории ресурсов, дни.

По умолчанию установлено значение 30 дней. Если вы хотите хранить все версии ресурсов без ограничений по сроку, вы можете использовать значение 0 (бессрочное хранение).

Только пользователь с ролью Главный администратор может просматривать и изменять срок хранения версий ресурсов.

Срок хранения версий ресурсов проверяется ежедневно, и версии ресурсов, которые хранятся в KUMA дольше указанного срока, удаляются автоматически. В диспетчере задач будет создана задача Очистка истории изменений ресурсов на проверку срока хранения версий ресурсов и удаление старых версий. Эта задача также запускается после перезапуска компонента Ядро.

Вы можете проверить время, оставшееся до удаления версии ресурса, в таблице версий в столбце Срок хранения.

Точки назначения

Точки назначения задают сетевые параметры для передачи нормализованных событий. Точки назначения используются в коллекторах и корреляторах для описания того, куда передавать обработанные события. Как правило, в роли точек назначения выступают коррелятор и хранилище.

Вы можете указать параметры точек назначения на вкладках Основные параметры и Дополнительные параметры. Набор доступных параметров зависит от выбранного типа точки назначения.

Существуют следующие типы точек назначения:

• internal – используются для приема данных от сервисов KUMA по протоколу internal.
• nats-jetstream – используются для коммуникации через NATS.
• tcp – используются для связи по протоколу TCP.
• http – используются для связи по протоколу HTTP.
• diode – используются для передачи событий с помощью диода данных.
• kafka – используются для коммуникаций с помощью kafka.
• file – используются для записи в файл.
• storage – используются для передачи данных в хранилище.
• correlator – используются для передачи данных в коррелятор.
• eventRouter – используются для передачи событий в маршрутизатор событий.

Точка назначения, тип internal

Точки назначения с типом internal используются для приема данных от сервисов KUMA по протоколу internal. Вы можете передавать следующие данные по протоколу internal:

• Внутренние данные, такие как маршруты событий.
• Файловые атрибуты. Если при создании коллектора на шаге Транспорт мастера установки вы указали коннектор с типом file, 1c-xml или 1c-log, на шаге Парсинг событий в таблице Сопоставление вы можете передать в поле события KUMA название обрабатываемого коллектором файла или путь к файлу. Для этого в столбце Исходные данные укажите одно из следующих значений:
  • $kuma_fileSourceName – передать в поле события KUMA название обрабатываемого коллектором файла.
  • $kuma_fileSourcePath – передать в поле события KUMA путь к обрабатываемому коллектором файлу.

  Когда вы используете коннектор с типом file, 1c-xml или 1c-log, новые переменные в нормализаторе будут работать только с точками назначения с типом internal.

• События в маршрутизатор событий. Маршрутизатор событий может принимать события только по протоколу internal, поэтому при отправке событий в маршрутизатор событий вы можете использовать только точки назначения с типом internal.

Доступные параметры точки назначения с типом internal описаны в таблицах ниже.

Вкладка Основные параметры

Вкладка Дополнительные параметры

Точка назначения, тип nats-jetstream

Развернуть всё | Свернуть всё

Точки назначения с типом nats-jetstream используются для коммуникации через NATS. Доступные параметры точки назначения с типом nats-jetstream описаны в таблицах ниже.

Вкладка Основные параметры

Вкладка Дополнительные параметры

Точка назначения, тип tcp

Точки назначения с типом tcp используются для связи по протоколу TCP. Доступные параметры точки назначения с типом tcp описаны в таблицах ниже.

Вкладка Основные параметры

Вкладка Дополнительные параметры

Точка назначения, тип http

Точки назначения с типом http используются для связи по протоколу HTTP. Доступные параметры точки назначения с типом http описаны в таблицах ниже.

Вкладка Основные параметры

Вкладка Дополнительные параметры

Точка назначения, тип diode

Развернуть всё | Свернуть всё

Точки назначения с типом diode используются для передачи событий с помощью диода данных. Доступные параметры точки назначения с типом diode описаны в таблицах ниже.

Вкладка Основные параметры

Вкладка Дополнительные параметры

Точка назначения, тип kafka

Развернуть всё | Свернуть всё

Точки назначения с типом kafka используются для коммуникаций с помощью kafka. Доступные параметры точки назначения с типом kafka описаны в таблицах ниже.

Вкладка Основные параметры

Вкладка Дополнительные параметры

Точка назначения, тип file

Точки назначения с типом file используются для записи в файл. Доступные параметры точки назначения с типом file описаны в таблицах ниже.

При удалении точки назначения с типом file, используемой в сервисе, вам нужно перезапустить сервис.

Вкладка Основные параметры

Вкладка Дополнительные параметры

Точка назначения, тип storage

Точки назначения с типом storage используются для передачи данных в хранилище. Доступные параметры точки назначения с типом storage описаны в таблицах ниже.

Вкладка Основные параметры

Вкладка Дополнительные параметры

Точка назначения, тип correlator

Точки назначения с типом correlator используются для передачи данных в коррелятор. Доступные параметры точки назначения с типом correlator описаны в таблицах ниже.

Вкладка Основные параметры

Вкладка Дополнительные параметры

Точка назначения, тип eventRouter

Точки назначения с типом eventRouter используются для передачи событий в маршрутизатор событий. Доступные параметры точки назначения с типом eventRouter описаны в таблицах ниже.

Вкладка Основные параметры

Вкладка Дополнительные параметры

Предустановленные точки назначения

В поставку KUMA включены перечисленные в таблице ниже точки назначения.

Предустановленные точки назначения

Нормализаторы

Нормализаторы предназначены для приведения исходных событий, которые поступают из разных источников в разных форматах, к модели данных событий KUMA. Нормализованные события становятся доступны для обработки другими ресурсами и сервисами KUMA.

Нормализатор состоит из основного и необязательных дополнительных правил парсинга событий. С помощью создания основного и множества дополнительных правил парсинга можно реализовать сложную логику обработки событий. Данные передаются по древовидной структуре правил парсинга в зависимости от условий, заданных в параметре

Нормализация событий теперь доступна в следующих вариантах:

• 1 коллектор - 1 нормализатор

  Мы рекомендуем использовать такой способ, если у вас много событий одного типа или много IP-адресов, откуда могут приходить события одного типа. Можно настроить один коллектор только с одним нормализатором и это будет оптимально с точки зрения производительности.

• 1 коллектор - несколько нормализаторов с привязкой к IP

  Такой способ доступен для коллекторов с коннектором типа UDP, TCP, HTTP. Если в коллекторе на шаге Транспорт указан коннектор UDP, TCP, HTTP, на шаге Парсинг событий на вкладке Настройки парсинга вы можете задать несколько IP-адресов и указать, какой нормализатор использовать для событий, поступающих с заданных адресов. Доступны следующие типы нормализаторов: json, cef, regexp, syslog, csv, kv, xml. Для нормализаторов типа Syslog и regexp вы можете задать дополнительные условия нормализации в зависимости от значения поля DeviceProcessName.

Нормализатор создается в несколько этапов:

1. Подготовка к созданию нормализатора

   Нормализатор можно создать в веб-интерфейсе KUMA:

   • В разделе Ресурсы → Нормализаторы.
   • При создании коллектора на шаге Парсинг событий.

   Затем в нормализаторе необходимо создать правила парсинга.

2. Создание основного правила парсинга событий

   Основное правило парсинга создается с помощью кнопки Добавить парсинг событий. При этом открывается окно Парсинг событий, в котором вы можете задать параметры основного правила парсинга:

   • Задать параметры парсинга событий.
   • Задать параметры обогащения событий.

   Основное правило парсинга событий отображается в нормализаторе в виде темного кружка. Параметры основного правила парсинга можно просмотреть или изменить, нажав на его кружок. При наведении на кружок отображается значок плюса: при нажатии на него можно добавить дополнительные правила парсинга.

   Название основного правила парсинга используется в KUMA в качестве названия нормализатора.

3. Создание дополнительных правил парсинга событий

   При нажатии на значок плюса, который отображается при наведении указателя мыши на кружок или блок, обозначающей нормализатор событий, откроется окно Дополнительный парсинг событий, в котором вы можете задать параметры дополнительного правила парсинга:

   • Определить условия, при которых данные будут поступать в новый нормализатор.
   • Задать параметры парсинга событий.
   • Задать параметры обогащения событий.

   Дополнительное правило парсинга событий отображается в нормализаторе виде темного блока. На блоке указаны условия, при котором дополнительное правило парсинга будет задействовано, название дополнительного правила парсинга, а также поле события, при наличии которого данные передаются в нормализатор. Параметры дополнительного правила парсинга можно просмотреть или изменить, нажав его блок.

   Если навести указатель мыши на дополнительный нормализатор, отобразится кнопка со значком плюса, с помощью которой можно создать новое дополнительное правило парсинга событий. С помощью кнопки со значком корзины нормализатор можно удалить.

4. Завершение создания нормализатора

   Создание нормализатора завершается нажатием кнопки Сохранить.

В верхнем правом углу в поле поиска можно искать дополнительные правила парсинга по названию.

Для ресурсов нормализатора в полях ввода, кроме поля Описание, можно включить отображение непечатаемых символов.

Если вы, меняя параметры набора ресурсов коллектора, измените или удалите преобразования в подключенном к нему нормализаторе, правки не сохранятся, а сам нормализатор может быть поврежден. При необходимости изменить преобразования в нормализаторе, который уже является частью сервиса, вносите правки непосредственно в нормализатор в разделе веб-интерфейса Ресурсы → Нормализаторы.

Параметры парсинга событий

Развернуть всё | Свернуть всё

При создании правил парсинга событий в окне параметров нормализатора на вкладке Схема нормализации вы можете настроить правила приведения поступающих событий к формату KUMA. Доступные параметры парсинга событий описаны в таблице ниже.

При нормализации событий, помимо полей стандартной схемы событий KUMA вы также можете использовать поля расширенной схемы событий.

Доступные параметры парсинга событий

Расширенная схема событий

Вы можете использовать поля расширенной схемы событий в нормализаторах для нормализации событий и в других ресурсах KUMA, например, в качестве полей виджетов или для фильтрации и поиска событий. Список всех полей расширенной схемы событий, существующих в KUMA, доступен в разделе Параметры → Поля расширенной схемы событий. Список полей расширенной схемы событий единый для всех тенантов.

Просматривать таблицу полей расширенной схемы событий могут только пользователи с ролями Главный администратор, Администратор тенанта, Аналитик второго уровня, Аналитик первого уровня, Младший аналитик, Чтение общих ресурсов, Редактирование общих ресурсов.

Таблица Поля расширенной схемы событий содержит следующие данные:

• Тип – тип данных поля расширенной схемы событий.

  Доступные типы данных

  Тип	Доступность в нормализаторе	Тип данных
  S	Все типы	Строка.
  N	Все типы	Число.
  F	Все типы	Число с плавающей точкой.
  SA	KV, JSON	Массив строк. Порядок элементов массива соответствует порядку элементов сырого события.
  NA	KV, JSON	Массив целых чисел. Порядок элементов массива соответствует порядку элементов сырого события.
  FA	KV, JSON	Массив чисел с плавающей точкой. Порядок элементов массива соответствует порядку элементов сырого события.

• Имя поля – имя поля расширенной схемы событий, без типа.

  Вы можете нажать на имя, чтобы изменить параметры поля расширенной схемы событий.

• Статус – возможность использовать поле расширенной схемы событий в ресурсах.

  Вы можете перевести переключатель в положение Включено или Выключено, чтобы разрешить или запретить использование этого поля расширенной схемы событий в новых ресурсах. При этом выключенное поле все еще будет использоваться в уже работающих конфигурациях ресурсов, пока вы не удалите его из конфигурации вручную, а также будет доступно в списке столбцов таблицы в разделе События для работы со старыми событиями.

  Выключить использование поля расширенной схемы событий может только пользователь с ролью Главный администратор.

• Дата обновления – дата и время последнего изменения поля расширенной схемы событий.
• Создал – имя пользователя, который создал поле расширенной схемы событий.
• Зависимости – количество ресурсов KUMA, макетов панели мониторинга, отчетов, пресетов и наборов полей для поиска источников событий, использующих поле расширенной схемы событий.

  Вы можете нажать на число, чтобы открыть панель с таблицей всех ресурсов и других сущностей KUMA, в которых используется это поле. Для каждой зависимости в таблице отображается название, тенант (только для ресурсов) и тип. Зависимости в таблице отсортированы по названию. Вы можете нажать на название зависимости, чтобы перейти на ее страницу (кроме макетов панели мониторинга, пресетов и сохраненных запросов пользователей).

  Вы можете просмотреть зависимости поля расширенной схемы событий только от тех ресурсов и сущностей, к тенантам которых у вас есть доступ. Если у вас нет доступа к тенанту, соответствующие ресурсы не будут отображаться в таблице, но будут учитываться в количестве зависимостей.

• Описание – текстовое описание поля.

По умолчанию таблица полей расширенной схемы событий отсортирована по убыванию даты обновления. При необходимости вы можете отсортировать таблицу, нажав на заголовок столбца и выбрав По возрастанию или По убыванию, а также воспользоваться контекстным поиском по имени поля.

По умолчанию в KUMA версии 3.4 и выше автоматически добавляются следующие служебные поля расширенной схемы событий:

• KL_EventRoute, тип S – предназначено для хранения информации о маршруте события.

  Вы можете использовать это поле в нормализаторах, в качестве ключа или значения в активных листах, в правилах обогащения, в качестве поля запроса в правилах сбора и анализа данных, в корреляционных правилах. Вы не можете использовать это поле для детектирования источников событий.

• Следующие поля добавлены в корреляционное событие:
  • KL_CorrelationRulePriority, тип N;
  • KL_SourceAssetDisplayName, тип S;
  • KL_DestinationAssetDisplayName, тип S;
  • KL_DeviceAssetDisplayName, тип S;
  • KL_SourceAccountDisplayName, тип S;
  • KL_DestinationAccountDisplayName, тип S.

  Вы можете использовать эти служебные поля для поиска событий.

Вы не можете изменять, удалять, экспортировать и отключать служебные поля. Все поля расширенной схемы событий с префиксом KL_ являются служебными и управляются только c серверов "Лаборатории Касперского". Мы не рекомендуем использовать префикс KL_ в имени при добавлении новых полей расширенной схемы событий.

Добавление полей расширенной схемы событий

Пользователи с ролями Главный администратор, Администратор тенанта, Аналитик второго уровня, Аналитик первого уровня, Младший аналитик, Редактирование общих ресурсов могут добавлять новые поля расширенной схемы событий.

Чтобы добавить поле расширенной схемы событий:

1. В веб-консоли KUMA в разделе Параметры → Поля расширенной схемы событий нажмите на кнопку Добавить в верхней части таблицы.

   Откроется панель Создание расширенной схемы.

2. Включите или выключите переключатель Статус, чтобы разрешить или запретить использовать это поле расширенной схемы событий в ресурсах.

   По умолчанию переключатель включен. Выключенное поле все еще будет доступно в списке столбцов таблицы в разделе События для работы со старыми событиями.

3. В поле Тип выберите тип данных поля расширенной схемы событий.

   Доступные типы данных

   Тип	Доступность в нормализаторе	Тип данных
   S	Все типы	Строка.
   N	Все типы	Число.
   F	Все типы	Число с плавающей точкой.
   SA	KV, JSON	Массив строк. Порядок элементов массива соответствует порядку элементов сырого события.
   NA	KV, JSON	Массив целых чисел. Порядок элементов массива соответствует порядку элементов сырого события.
   FA	KV, JSON	Массив чисел с плавающей точкой. Порядок элементов массива соответствует порядку элементов сырого события.

4. В поле Имя поля укажите имя поля расширенной схемы событий.

   Имя поля расширенной схемы событий имеет следующие особенности:

   • Должно быть уникальным в рамках инсталляции KUMA.
   • Чувствительно к регистру. Например, имена Имя_поля и имя_поля считаются разными именами.
   • Допустимо использовать символы латиницы, кириллицы и числа. Не допускается использование пробелов и символов " ~ ` @ # $ % ^ & * ( ) + - [ ] { } | \ | / . " < > ; ! , : ? =.
   • Если вы хотите использовать поля расширенной схемы событий для поиска источников событий, допустимо использовать только символы латиницы и числа.
   • Максимальная длина – 128 символов.
5. При необходимости в поле Описание укажите описание поля расширенной схемы событий.

   Мы рекомендуем в описании указывать назначение добавляемого поля расширенной схемы событий. В описании допустимо использовать только символы Unicode. Максимальная длина – 256 символов.

6. Нажмите на кнопку Сохранить.

Новое поле расширенной схемы событий будет добавлено и отобразится в начале таблицы. Будет создано событие аудита о создании поля расширенной схемы событий. Если вы включили поле, вы сможете использовать его в нормализаторах и при конфигурации ресурсов.

Изменение полей расширенной схемы событий

Пользователи с ролями Главный администратор, Администратор тенанта, Аналитик второго уровня, Аналитик первого уровня, Младший аналитик, Редактирование общих ресурсов могут изменять существующие поля расширенной схемы событий.

Чтобы изменить поле расширенной схемы событий:

1. В веб-консоли KUMA в разделе Параметры → Поля расширенной схемы событий нажмите на название поля, которое вы хотите изменить.

   Откроется панель Редактирование расширенной схемы. В этой панели отображаются параметры выбранного поля, а также таблица Зависимости со списком ресурсов, макетов панели мониторинга, отчетов, пресетов и наборов полей для поиска источников событий, в которых используется это поле. Отображаются только те ресурсы, к тенантам которых у вас есть доступ. Если поле используется в тех ресурсах, к тенантам которых у вас нет доступа, эти ресурсы не будут отображаться в таблице. Ресурсы в таблице отсортированы по названию.

   Вы можете нажать на название ресурса или сущности, чтобы перейти на его страницу (кроме ресурсов панели мониторинга, пресетов и сохраненных запросов пользователей).

2. Внесите необходимые изменения в доступные параметры.

   Вы можете изменить параметры Тип и Имя поля, только если у этого поля расширенной схемы событий нет зависимостей. Параметры Статус и Описание вы можете изменить для любого поля расширенной схемы событий. Поле со статусом Выключено все еще будет использоваться в уже работающих конфигурациях ресурсов, пока вы не удалите его из конфигурации вручную, а также будет доступно в списке столбцов таблицы в разделе События для работы со старыми событиями.

   Выключить использование поля расширенной схемы событий с помощью параметра Статус может только пользователь с ролью Главный администратор.

3. Нажмите на кнопку Сохранить.

Поле расширенной схемы событий обновлено. Будет создано событие аудита об изменении поля.

Импорт и экспорт полей расширенной схемы событий

Вы можете добавить сразу несколько новых полей расширенной схемы событий, импортировав их из файла в формате JSON. Вы также можете экспортировать все существующие в KUMA поля расширенной схемы событий с информацией о них в файл, например, для передачи списка полей в другие инсталляции KUMA для поддержания работы ресурсов.

Импортировать и экспортировать поля расширенной схемы событий могут пользователи с ролями Главный администратор, Администратор тенанта, Аналитик второго уровня, Аналитик первого уровня, Младший аналитик, Редактирование общих ресурсов. Пользователи с ролью Чтение общих ресурсов могут только экспортировать поля расширенной схемы событий.

Чтобы импортировать поля расширенной схемы событий в KUMA из файла:

1. В веб-консоли KUMA в разделе Параметры → Поля расширенной схемы событий нажмите на кнопку Импорт.
2. В открывшемся окне выберите файл в формате JSON со списком объектов полей расширенной схемы событий.

   Пример файла JSON:

   [ {"kind": "SA", "name": "<fieldName1>", "description": "<description1>", "disabled": false}, {"kind": "N", "name": "<fieldName2>", "description": "<description2>", "disabled": false}, .... {"kind": "FA", "name": "<fieldNameX>", "description": "<descriptionX>", "disabled": false} ]

   При импорте полей из файла их имена проверяются на возможные конфликты внутри одного типа. Если в KUMA уже существует поле с таким названием и типом, такие поля из файла не будут импортированы.

Поля расширенной схемы событий будут импортированы из файла в KUMA. Будет создано событие аудита об импорте полей, а также на каждое добавляемое поле будет создано отдельное событие аудита.

Чтобы экспортировать поля расширенной схемы событий в файл:

1. В веб-консоли KUMA перейдите в раздел Параметры → Поля расширенной схемы событий.
2. Если вы хотите экспортировать конкретные поля расширенной схемы событий, выполните следующие действия:
   1. Установите флажки в первом столбце таблицы напротив необходимых полей.

      Вы не можете выбрать служебные поля.

   2. Нажмите на кнопку Экспортировать выбранные в верхней части таблицы.
3. Если вы хотите экспортировать все поля расширенной схемы событий, нажмите на кнопку Экспортировать все в верхней части таблицы.

Файл JSON со списком объектов полей расширенной схемы событий и информацией о них будет скачан.

Удаление полей расширенной схемы событий

Удалять поля расширенной схемы событий может только пользователь с ролью Главный администратор.

Вы можете удалить только те поля расширенной схемы событий, которые не являются служебными, у которых установлен статус Выключено и которые не используются в ресурсах и других сущностях KUMA (нет зависимостей). Мы рекомендуем удалять поля расширенной схемы событий через некоторые время после того, как события, в которых использовалось поле, были гарантированно удалены из KUMA. После удаления поле не будет отображаться в подсказках событий.

Чтобы удалить поля расширенной схемы событий:

1. В веб-консоли KUMA перейдите в раздел Параметры → Поля расширенной схемы событий.
2. Установите флажки в первом столбце таблицы напротив одного или нескольких полей, которые вы хотите удалить.

   Вы можете выбрать все поля, установив флажок в первом столбце заголовка таблицы.

3. Нажмите на кнопку Удалить в верхней части таблицы.

   Кнопка Удалить активна, только если все выбранные поля выключены и не имеют зависимостей. Если хотя бы одно поле включено или имеет зависимость, кнопка неактивна.

   Если вы хотите удалить поле, которое используется хотя бы в одном ресурсе KUMA (имеет зависимость), но у вас нет доступа к его тенанту, кнопка Удалить будет активна при выборе этого поля, но при попытке удалить его отобразится ошибка.

Выбранные поля будут удалены. Будет создано событие аудита об удалении полей.

Использование полей расширенной схемы событий в нормализаторах

При использовании полей расширенной схемы событий сохраняется общее ограничение для максимального размера события обрабатываемого коллектором – 4 МБ. Информация о типах полей расширенной схемы событий приведена в таблице ниже (пункт 6 инструкции).

Использование значительного количества уникальных полей расширенной схемы событий может привести к снижению производительности системы, увеличению объема дискового пространства, необходимого для хранения событий и сложности восприятия данных.

Мы рекомендуем предварительно продумать и сформировать минимально необходимый набор дополнительных полей расширенной схемы событий и использовать его в нормализаторах и корреляции.

Чтобы использовать поля расширенной схемы событий:

1. Откройте существующий или создайте новый нормализатор.
2. Заполните основные параметры нормализатора.
3. Нажмите на кнопку Добавить строку.
4. В параметре Исходные данные укажите название исходного поля в сыром событии.
5. В параметре Поле KUMA начните вводить имя поля расширенной схемы событий и выберите нужное поле в раскрывающемся списке.

   Поля расширенной схемы событий в раскрывающемся списке имеют имя в формате <тип>.<имя поля>.

6. Нажмите на кнопку Сохранить для сохранения нормализатора событий.

Нормализатор сохранен с выбранным полем расширенной схемы событий.

Если данные, находящиеся в полях сырого события, не соответствуют типу поля KUMA, в процессе нормализации событий значение не будет сохранено, если невозможно выполнить преобразование типов данных. Например, строка test не может быть помещена в числовое поле KUMA DeviceCustomNumber1.

С точки зрения нагрузки на сервер хранения при операциях поиска событий, подготовки отчетов и других операций с событиями в хранилище наиболее предпочтительными являются поля схемы событий KUMA, после чего идут поля расширенной схемы событий, затем поля Extra.

Обогащение в нормализаторе

Развернуть всё | Свернуть всё

При создании правил парсинга событий в окне параметров нормализатора на вкладке Обогащение вы можете настроить правила дополнения полей нормализованного события другими данными с помощью правил обогащения. Правила обогащения хранятся в параметрах нормализатора, в котором они были созданы.

Вы можете создавать правила обогащения с помощью кнопки Добавить обогащение. Для удаления правила обогащения нажмите рядом с ним на кнопку . Поля расширенной схемы событий могут быть использованы при обогащении событий. Доступные параметры правила обогащения описаны в таблице ниже.

Доступные параметры правила обогащения

Условия передачи данных в дополнительный нормализатор

При создании дополнительных правил парсинга событий вы можете указать условия, при выполнении которых события будут поступать на обработку в правило парсинга. Условия можно задать в окне Дополнительное правило парсинга на вкладке Условия дополнительной нормализации. В основных правилах парсинга эта вкладка отсутствует.

Доступные параметры:

• Использовать сырое событие – если вы хотите передавать сырое событие для дополнительной нормализации, в раскрывающемся списке Использовать сырое событие выберите значение Да. По умолчанию указано значение Нет. Мы рекомендуем передавать сырое событие в нормализаторы типа json и xml. Если вы хотите передавать сырое событие для дополнительной нормализации на второй, третий и далее уровень вложенности, последовательно на каждом уровне вложенности в раскрывающемся списке Использовать сырое событие выберите значение Да.
• Поле, которое следует передать в нормализатор – используется для указания поля события в том случае, если вы хотите отправлять на дополнительный парсинг только события с заданными в параметрах нормализатора полями.

  Если оставить это поле пустым, в дополнительный нормализатор будет передано событие целиком.

• Блок фильтров – используется для формулирования сложных условий, которым должны удовлетворять события, поступающие в нормализатор.

  С помощью кнопки Добавить условие можно добавить строку с полями для определения условия (см. ниже).

  С помощью кнопки Добавить группу можно добавить группу фильтров. Можно переключать групповые операторы между И, ИЛИ, НЕ. В группы фильтров можно добавить другие группы условий и отдельные условия.

  Условия и группы можно менять местами, перетягивая их за значок , а также удалять с помощью значка .

Параметры условий фильтра:

• Левый операнд и Правый операнд – используются для указания значений, которые будет обрабатывать оператор.

  В левом операнде следует указывать исходное поле событий, поступающих в нормализатор. Например, если в окне Основной парсинг событий настроено сопоставление eventType - DeviceEventClass, то в окне Дополнительный парсинг событий на вкладке Условия дополнительной нормализации в поле левого операнда для фильтра следует указать eventType. Данные обрабатываются только как текстовые строки.

• Операторы:
  • = – полное совпадение левого и правого операндов.
  • startsWith – левый операнд начинается с символов, указанных в правом операнде.
  • endsWith – левый операнд заканчивается символами, указанными в правом операнде.
  • match – левые операнд соответствует регулярному выражению (RE2), указанному в правом операнде.
  • in – левый операнд соответствует одному из значений, указанных в правом операнде.

Поступающие данные можно предварительно преобразовать, если нажать на кнопку : откроется окно Преобразование, в котором с помощью кнопки Добавить преобразование можно создать правила изменения исходных данных перед тем, как над ними будут совершены какие-либо действия. В окне Преобразования добавленные правила можно менять местами, перетягивая их за значок , а также удалять с помощью значка .

Доступные преобразования

Поддерживаемые источники событий

KUMA поддерживает нормализацию событий, которые поступают от систем, перечисленных в таблице ниже. Нормализаторы для указанных систем включены в поставку.

Поддерживаемые источники событий