Перейти к содержанию

Работа с пассивными источниками событий

Все действия по управлению пассивными источниками в веб-интерфейсе Платформы выполняются в разделе «Администрирование»-> «Источники»->«Управление источниками» (Рисунок 1).

Управление источников Рисунок 1. Управление источниками

Включение/выключение пассивных источников и их синхронизация

Для включения/выключения источников необходимо выполнить следующие действия:

  1. Выбрать источник и проверить его текущий статус работы в столбце ВКЛЮЧЕН: синий фон кнопки-переключателя и надпись Активно показывают, что источник включен, белый фон и надпись Не активно, что выключен (Рисунок 2).

Включение источника
Рисунок 2. Статус работы источника

  1. Включить/выключить все необходимые источники. Включение и выключение источника осуществляется нажатием на кнопку-переключатель.

  2. Выполнить синхронизацию источников, чтобы внесенные изменения вступили в силу, нажав кнопку Синхронизировать (Рисунок 3).

Важно! Необходимо синхронизировать источники после каждого изменения

Кнопка для синхронизации и добавления нового источника
Рисунок 3. Кнопки для синхронизации и добавления нового источника

После выполнения вышеперечисленных действий Платформа готова к приему событий от включенных источников в пассивном режиме.

Заведение нового пассивного источника

Для заведения нового пассивного источника:

  1. Нажать кнопку Добавить новый источник в верхней части страницы «Управление источниками» (Рисунок 1,3).

  2. Заполнить форму (Рисунок 4). Расшифровка полей формы дана в следующем разделе «Описание полей формы».

  3. При необходимости проверить работу выбранных парсера и нормализатора в правой части формы, подставив сырое событие от источника и запустив проверку. Результаты проверки появятся во всплывающем окне.

  4. Сохранить данные, нажав кнопку Сохранить в нижней левой части формы. Для выхода из формы без сохранения данных нажмите кнопку Отменить.

  5. Включить новый источник.

  6. Синхронизировать источники.

Новый источник Рисунок 4. Форма добавления нового типа источника

Описание полей формы создания/редактирования пассивного источника

Название — наименование типа источника (пример: «Linux Debian»)
Tип — тип источника (пример: «Linux»)
Вендор — производитель системы, которая выступает в качестве источника (пример: «Debian»)
Порт — необходимо указать один из свободных портов, который будет использоваться для отправки события с нового источника (+- диапазон 6000-8000)

Область Правила для rsyslog:

  • Поле Протокол — протокол, по которому будут приниматься события. Возможные форматы:

  • TCP,

  • PTCP (Plain TCP),

  • UDP.

  • Поле Формат — правила приема и обработки события. Возможные форматы:

  • RAW — не изменять входящее событие

  • RAW-JSON — обогатить сообщение дополнительной технической информацией и упаковать в пакет json

  • JSON-JSON — обогатить существующую структуру json дополнительными полями с технической информацией

Область Правила для termite:

  • Тип сообщения — указывается тип события из правила нормализации.
  • Парсер — указывается правило разбора данного типа событий.
  • Нормализатор — указывается правило нормализации.
  • Часовой пояс — указывается необходимая временная зона (пример: «Europe/Moscow»).
  • Кодировка событий — указывается необходимая кодировка (пример: «utf-8»).
  • Агрегация — позволяет выполнить агрегацию однотипных событий. Необходимо указать поля, которые могут меняться. Расшифровка полей для агрегации дана в разделе «Описание полей нормализации».

Изменение параметров пассивного источника

Для изменения данных об источнике необходимо выполнить следующие действия:

  1. Нажать кнопку редактирования Кнопка для редактированияв строке выбранного источника.

  2. Внести необходимые изменения в форму редактирования источника (Рисунок 5).

  3. Сохранить данные, нажав кнопку Сохранить в нижней левой части формы. Для выхода из формы без сохранения данных нажать кнопку Отменить.

  4. Синхронизировать источники нажав кнопку Синхронизировать на вкладке "Источники".

Форма изменения
Рисунок 5. Форма редактирования типа источника

Удаление пассивного источника

Для удаления пассивного источника:

  1. На вкладке "Источники" нажать кнопку редактирования Кнопка для редактированияв строке выбранного для удаления источника.

  2. В форме редактирования параметров источника нажать кнопку Удалить в нижней правой части формы (Рисунок 5). Подтвердить действие во всплывающем окне.

  3. Синхронизировать источники после удаления одного из них нажав кнопку Синхронизировать на вкладке "Источники".