Přeskočit obsah

LogMan.io Assets

TeskaLabs LogMan.io Assets (lmio-assets) je mikroservis, který udržuje inventář aktiv pro jednotlivé nájemce: hostitele, uživatele a služby identifikované hlavními poli ze schématu nájemce. Inventář zpřístupňuje přes HTTP (výchozí tcp/8965) a uchovává dokumenty v MongoDB.

Služba spotřebovává dva Kafka streamy na každého nájemce:

Potok Zdroj Vliv na aktiva
Aktivita Téma aktivity Parsec (ve výchozím nastavení events.<tenant>.activity) Aktualizace first_seen / last_seen, volitelné značky z dat o aktivitě
Složitý Výstup korelátoru na lince složitých událostí nájemce (events.<tenant>.complex ve výchozím nastavení) Aktualizuje skóre rizika entity pomocí modelu s časovým útlumem (viz Skóre rizika entity)

Aktivita a složité zpracování sdílejí stejnou spotřebitelskou skupinu (lmio_assets ve výchozím nastavení). Názvy témat a mapování polí schématu se obnovují při změně Knihovny pod /EventLanes/ nebo /Schemas/.

Dokument aktiva

Každý řádek aktiva používá Mongo _id {tenant}:{kind}:{value}, kde kind je host, user nebo service.

Pole Význam
tenant, kind, value Identita (zrcadlí části _id)
first_seen, last_seen Unix ms z hlavního pole data a času schématu na událostech aktivit
risk_score Celé číslo představující skóre rizika entity (rozpadá se při čtení; viz Rozpad skóre rizika)
alert_after Volitelný práh upozornění na zastaralá data v sekundách (HTTP API); když je ≥ 1, je to také okno pro aktivní
active Vypočítáno (není uloženo): true, když now − last_seen ≤ threshold (viz níže)

Uživatelem definované štítky se nacházejí v samostatné kolekci tags (ve výchozím nastavení asset_tags) se stejným _id jako majetek.

Filtr štítků a událostí

Štítky jsou volně definované páry klíč/hodnota na sidecaru (například label → prod). Používejte je pro seskupování aktiv a pro omezení Discover nebo Chart na tyto principy.

Cíl Koncový bod
Vypsat aktiva podle štítku GET /{tenant}/asset?atag=field:value
CSV export označených aktiv GET /{tenant}/asset/export?atag=field:value
Objevte / Filtr grafu pro jejich události GET /{tenant}/asset/events-filter?atag=field:value
  • Preferovaný parametr dotazu: atag=field:value (například atag=label:prod). Samotná hodnota používá pole tags.
  • Volitelný akind / kind omezuje na host, user a/nebo service.
  • Porovnávání je v aplikačním kódu nerozlišující velikost písmen (ne v Mongo $regex).
  • events-filter ne dotazuje Elasticsearch. Vrací data.filter v jazyce filtrů Discover (například host.id:(a, b) OR user.id:(…)). Graf může toto automaticky aplikovat, když datový zdroj Elasticsearch nastaví specification.asset_tag. Viz Události pro aktiva podle tagu.

Vyžaduje lmio:asset:access.

Aktivní vs neaktivní

Seznam, detail a export do CSV používají stejné pravidlo jako zelená/červená ikona Aktivita v webovém rozhraní:

active  ⇔  (now_ms − last_seen_ms) ≤ threshold_sec × 1000
alert_after on the document Prah
Celé číslo ≥ 1 Ta hodnota (v sekundách), stejné okno jako Zastaralé po (upozornění)
Chybí, null nebo < 1 (upozornění odstraněno / vypnuto) 7 dní (604800 s)

Chybějící nebo neplatný last_seen → neaktivní (active: false).

Tento odznak je nezávislý na nonactive / nonactive_since (ty označují, že byl již odeslán zastaralý signál up do Správy upozornění). Vymazání Stale after (alert) zastaví tikety, ale aktivum může stále být zobrazováno jako neaktivní po 7 dnech bez aktivity.

Pro analytiky: Správa aktiv - Aktivní vs neaktivní.

Zastaralé signály aktiv

Když alert_after ≥ 1 a aktivum zůstane delší dobu neaktivní než toto období, StaleAssetAlertService vysílá signál Správy upozornění (direction: up). Na up obsahuje signál attributes sekundy bez aktivity ve schématu označeném tímto způsobem (sourozenec pole alert:):

event.duration:
  type: fp64
  format: humanize
  alert:
    grouping:
      method: log10
      description: Groups large values into magnitude buckets
  asset:
    inactive_seconds: true

Pokud žádné pole není označeno, atribut délky trvání je ze signálu vynechán. Obnova používá direction: down (stejný titul/skupina; bez atributu délky trvání).

Pro analytiky: Správa aktiv - Upozornění na neaktivní aktiva.

Související dokumentace