Signál¶

Signál je informativní pojem / indikace pro správu alertů generovaný LogMan.io Correlatorem, LogMan.io Baselinerem, LogMan.io Watcherem, LogMan.io Wardenem a dalšími službami.

Na základě těchto zpráv LogMan.io Alerts vytváří nové tikety nebo aktualizuje existující a aplikuje skupinování.

Konfigurace signálu v deklaracích¶

Detekční pravidla (korelační pravidla, baseline pravidla a podobně) mohou ve své deklaraci obsahovat sekci signal, která určuje, zda a jak posílají signály do Alert Management (výchozí trigger, skupinování, název tiketu).

Výchozí trigger signálu¶

Ve výchozím nastavení při spuštění korelačního nebo baseline pravidla odešle signál, aby LogMan.io Alerts mohly vytvořit nebo aktualizovat tiket. Pro zakázání tohoto výchozího signálu (pravidlo nebude vytvářet tikety v Alert Management) nastavte:

signal:
  default: false

Hint

Tuto volbu použijte, když je pravidlo určeno pro analýzu nebo jako vstup pro jiná pravidla, ne jako přímý zdroj alertů. Například baseline, který pouze napájí korelační logiku, by nastavil default: false.

Atributy skupinování¶

Signály se seskupují do tiketů podle group id. Ve výchozím nastavení se group id odvozuje z atributů v sekci evaluate pravidla (nebo z cesty pravidla). Pro určení jiných atributů pro skupinování použijte volbu grouping:

signal:
  grouping:
    - user.name
    - host.id

Uvedené atributy se použijí pro sestavení group id. Když dorazí nový signál, LogMan.io Alerts hledá existující tiket se stejným group id a aktualizuje ho; jinak vytvoří nový tiket. Podrobnosti viz Skupinové lístky.

Název¶

Můžete nastavit vlastní název tiketu vytvořeného ze signálu:

signal:
  title: Host Anomaly

Pokud není uveden, název tiketu se odvozuje z pravidla (např. cesta pravidla nebo výchozí pojmenování).

Vlastní atributy¶

Pro obohacení tiketu o další atributy:

signal:
  additional_attributes:
    - event.action

Kombinace voleb¶

V jedné sekci signal můžete kombinovat default, grouping, title a další parametry:

signal:
  default: true
  title: Host Anomaly
  grouping:
    - user.name
    - host.id
  additional_attributes:
    - event.action

Kde sekce signal platí¶

Correlator deklarace: použijte sekci signal pro řízení výchozího signálu, skupinování a názvu (viz Correlator). Pro explicitní položku - signal: v seznamu trigger pravidla (mapování polí do payloadu signálu) viz Triggers.
Baseliner deklarace: použijte signal: default: false, když je baseline pouze pro analýzu nebo vstup do korelace; lze také nastavit signal: title: a signal: grouping: (viz Defining baselines).
Další služby (např. Warden, lookups) mohou podporovat signálové triggery ve svých definicích triggerů; viz příslušná dokumentace.