Přeskočit obsah

Pravidla potlačení

LogMan.io Alerts mohou určitá bezpečnostní upozornění ztišit, tj. potlačit, například duplicity nebo známé falešné pozitivy.

Potlačení se provádí na základě předem nakonfigurované sady podmínek zvané suppression rule (pravidlo potlačení).

Pokud je v Knihovně uloženo alespoň jedno aktivní pravidlo potlačení, je funkčnost povolena a každý příchozí signál je kontrolován proti dostupným pravidlům potlačení.

Signál je potlačen, pokud jsou splněny následující podmínky:

  • odpovídá aktivnímu pravidlu potlačení
  • není součástí větší skupiny (viz skupinování signálů)

Příklad

Pravidlo potlačení v pokročilém režimu

/Alerts/Suppressions/Advanced Mode Suppression Rule.yaml
---
define:
  name: Advanced Mode Suppression Rule
  description: Suppress signals with matching attributes
  type: alerts/suppressions
  mode: advanced
  format: splang
  author: <.....>
  created_at: '2026-04-07T10:53:49.494006Z'

schedule:
  expires_at: '2026-12-05T12:39:34.457844Z'

predicate:
  !AND
    - !NE
      - !ITEM EVENT host.hostname
      - test
    - !OR
      - !EQ
        - !ITEM EVENT event.action
        - Accept
      - !EQ
        - !ITEM EVENT event.action
        - Success
    - !IN
      what: !ITEM EVENT event.code
      where: ["45", "72", "85"]

define

Tato sekce obsahuje společnou definici, metadata a identifikátory pravidla potlačení.

Položky type, mode, format, author, created_at přidává LogMan.io Alerts.

name

Krátký lidsky čitelný název pravidla potlačení.

description

Stručné lidsky čitelné vysvětlení charakteru a cílů pravidla potlačení.

schedule

Tato sekce obsahuje časová nastavení pravidla potlačení.

expires_at

Časové razítko, po kterém pravidlo potlačení již není aktivní.

predicate

Tato sekce obsahuje filtr pro příchozí signály ve formě výrazu SP-Lang.

Pokud se výraz vyhodnotí jako true, signál je ignorován.

V uvedeném příkladu:

LogMan.io Alerts ignorují všechny signály, kde

  • host.hostname se nerovná test a
  • event.action se rovná Accept nebo Success a
  • event.code je "45", "72" nebo "85"

Vytvoření pravidla potlačení

Pravidla potlačení se vytvářejí v dedikovaném UI a ukládají do Knihovny.

Jsou k dispozici dva režimy.

Pokročilý režim

Pravidla se vytvářejí jako sada podmínek v SP-Lang.

Pokud je pravidlo vytvořeno v pokročilém režimu, lze ho upravovat pouze v pokročilém režimu.

Pokročilý režim

Základní režim

Pravidla se vytvářejí jednoduchým konstruktorem v UI, který nevyžaduje SP-Lang.

Ve srovnání s pokročilým režimem je sada dostupných podmínek omezenější.

Pokud je pravidlo vytvořeno v základním režimu, lze ho upravovat v základním i pokročilém režimu.

Warning

Pokud přepnete do pokročilého režimu a uložíte změny, základní konstruktor v UI pro toto pravidlo již není dostupný.

Základní režim