Security Data Lake-д үйл явдлын тодорхойлолтыг (Event Definitions) хэрхэн үүсгэж, удирдах вэ?

Үйл явдал (event) гэдэг нь таны орчинд хэвийн үйл ажиллагааг өөрчлөх тодорхой нөхцөл байдал юм. Жишээ нь галт ханын бодлогод оруулсан өөрчлөлт, эсвэл хар жагсаалтад орсон IP хаягаас хийсэн нэвтрэх оролдлогын алдаа үйл явдал болж болно. Security Data Lake нь үйл явдлын параметрүүдийг тодорхойлох боломж олгож, лог өгөгдөл тэдгээр параметртэй таарахад танд сэрэмжлүүлэг (alert) илгээнэ. Энэ нийтлэлд үйл явдлын тодорхойлолтыг хэрхэн үүсгэж, удирдахыг, мөн үйл явдалд сэрэмжлүүлэг хэрхэн залгахыг тайлбарлана.

Шинэ үйл явдлын тодорхойлолтыг үндсэн хоёр аргаар үүсгэнэ:

• Үйл явдал тодорхойлогч wizard-аар
• Хайлтын үр дүнгээс шууд

Wizard-аар үйл явдал тодорхойлох

Security Data Lake-ийн интерфэйс дэх wizard-аар үйл явдлын тодорхойлолт үүсгэхийн тулд:

1. 1Alerts (Сэрэмжлүүлэг) хэсэгт орно.
2. 2Event Definitions (Үйл явдлын тодорхойлолт) табыг дарна.
3. 3Баруун дээд буланд Create event definition (Үйл явдлын тодорхойлолт үүсгэх)-ийг сонгоно.

Wizard-ын эхний дэлгэцэд үйл явдлын гарчиг, тайлбар, ач холбогдлын түвшинг (priority) оруулах талбарууд гарна.

Арилгах алхмуудыг тодорхойлох

Үйл явдлын тодорхойлолт, sigma дүрэм, anomaly detector (хэвийн бус байдал илрүүлэгч) бүрт арилгах алхмуудыг (текст утгаар) тодорхойлж болно. Ингэснээр сэрэмжлүүлэг ажиллах үед аюулгүй байдлын шинжээчид юу хийхийг зааж өгч чадна. Тодорхойлсон алхмууд аюулгүй байдлын үйл явдал дэгдэх үед тод харагдаж, дараагийн зөв үйлдлийг чиглүүлнэ.

Дэлгэрэнгүйг Remediation Steps нийтлэлээс үзнэ үү.

Ач холбогдлын түвшин тогтоох

Үйл явдлын ач холбогдлын түвшин нь хэрэглэгчийн тогтоодог ангилал юм. Үйл явдлыг чухлаар нь 1-ээс 3 хүртэл эрэмбэлнэ (1 = бага, 2 = хэвийн, 3 = өндөр). Энэ нь үйл явдлыг ач холбогдлоор нь ялгахад тусалдаг бөгөөд аюулгүй байдлын шинжилгээнд зайлшгүй шаардлагатай практик юм. Үйл явдлын ач холбогдол нь тойм хэсэгт термометрийн дүрсээр харагдаж, сэрэмжлүүлэгт бичигдэнэ.

10 минутын дотор нэг удаа нэвтрэх оролдлого алдагдсан нь бага ач холбогдолтой үйл явдлын (1-р түвшин) жишээ байж болно. 10 минутад 2–3 удаа алдагдвал хэвийн (2-р түвшин) гэж үзэж болно. 10 минутад 15-аас олон удаа алдагдвал өндөр ач холбогдолтой (3-р түвшин) гэж үзэж болно, учир нь хүн эсвэл бот системд нэвтэрч орохыг завдаж байж магадгүй.

Үйл явдлын төрөл сонгох

Мөн wizard дээр үйл явдлын төрлийг тодорхойлно. Condition Type (Нөхцөлийн төрөл) унадаг цэснээс үйл явдлын төрлийг сонгоно:

• Filter & Aggregation: Лог өгөгдлийг хайх, шүүхэд суурилсан үйл явдал.
• Event Correlation: Өөр хэд хэдэн тодорхойлсон үйл явдал дараалан тохиолдоход суурилсан үйл явдал.

Сонголтоо хийсний дараа энэ хуудсанд үйл явдлыг тодорхойлох нэмэлт талбарууд гарч ирнэ.

Энэ нийтлэлийн үлдсэн хэсэг Filter & Aggregation үйл явдалд зориулагдсан. Үйл явдлын корреляцийн талаар Correlation Engine нийтлэлээс үзнэ үү.

Үйл явдлын шалгуур тодорхойлох

Хайлтын асуулга болон aggregation (нэгтгэл)-ийг хослуулан Filter & Aggregation үйл явдал болох шалгуурыг нарийн тодорхойлж болно. Filter хэсэгт хайлтын асуулга болон бусад мэдээллээ оруулна:

1. 1Мессежүүд таарах ёстой хайлтын асуулгыг тодорхойлно. Асуулга нь Search хуудасны ямар ч хайлттай ижил синтакс ашиглана.
2. 2Асуулгын үр дүнг өөрчлөхийн тулд хайлтын шүүлтүүр (search filter) хэрэглэнэ. Хайлтын шүүлтүүрийн талаар доороос үзнэ үү. (заавал биш)
3. 3Мессеж агуулагдаж буй stream-ийг сонгоно.
4. 4Шүүлтүүр мессежийг таарахыг хайхдаа хэр хугацаагаар ухрах цагийн цонхыг тодорхойлно.

Хайлт нь заасан давтамжаар ажиллана. Шүүлтүүр таарвал үйл явдал үүснэ.

Шүүлтүүрээр үйл явдал тодорхойлох жишээ нь хэрэглэгчийн нэвтрэх оролдлогын алдааны хайлтыг зөвхөн тодорхой хэрэглэгчдээр нарийсгах явдал юм. Цагийн цонхыг сүүлийн 24 цаг эсвэл сүүлийн 3 өдөр гэж тогтоож болно.

Тодорхойлсон шүүлтүүр одоо Security Data Lake сервер дээр байгаа мессежтэй таарвал тэдгээр мессеж баруун талын Filter Preview (Шүүлтүүрийн урьдчилан харалт) самбарт харагдана.

Aggregation үүсгэх

Aggregation гэдэг нь хоёр ба түүнээс дээш объектыг хослуулсан зүйл юм. Шинэ объект нь утга учиртай, тодорхой үр дүнг боловсруулна. Aggregation нь тоон талбарын утга дээр, эсвэл шүүлтүүрт таарсан мессежийн нийт тоон дээр математик үйлдэл гүйцэтгэж чадна. Мөн харьцуулахаас өмнө таарсан үр дүнг сонгосон талбараар бүлэглэж болно.

Жишээ нь username талбарыг тодорхойлсон бол тодорхой нэг хэрэглэгчийн нэрээр дараалан таван удаа нэвтрэх оролдлого алдагдахад сэрэмжлүүлэг өгч болно. Энэ тохиолдолд тухайн хэрэглэгчид хамаарах нэвтрэх алдааны мессеж дараалан таван ба түүнээс олон удаа гарахад ажиллах үйл явдлын тодорхойлолт үүсгэнэ.

Custom field (өөриймшүүлсэн талбар) үүсгэх

Үйл явдлын тодорхойлолтын нэг хэсэг болгон Fields цэсэнд custom field үүсгэж болно. Эдгээр талбар нь тухайн тодорхойлолтоос үүссэн үйл явдалд эх логийн өгөгдлийг Security Data Lake-ийн үйл явдлын индекс рүү бөглөх боломж олгоно. Ингэснээр чухал мэдээлэл авахын тулд дахин хайлт хийх шаардлагагүй болно. Эдгээр талбарыг сэрэмжлүүлгийн хүлээн авагч руу илгээх өгөгдлийн хэмжээг хязгаарлахад ашиглаж болох ба custom field-ийг агуулсан aggregation-ыг ажиллуулж болно.

Эдгээр талбарт сэрэмжлүүлэг дотроос хандаж болох ба Enterprise үйл явдлын корреляци боломжид ашиглаж болно.

Сэрэмжлүүлэг залгах

Notifications (Мэдэгдэл) цэсэнд үйл явдлын тодорхойлолтдоо сэрэмжлүүлэг залгаж болно. Сэрэмжлүүлгийг хэрхэн тохируулах, ямар сэрэмжлүүлгийн төрөл байдгийг Alerts нийтлэлээс үзнэ үү.

Хайлтын үр дүнгээс шууд үйл явдал тодорхойлох

Хайлтын үр дүн дэх ямар ч утгыг сонгоод үйл явдлын тодорхойлолт үүсгэж болно. Ийм тодорхойлолт нь таны сэрэмжлүүлэг авахыг хүссэн асуулгын зөвхөн тодорхой хэсгийг агуулсан тусгайлсан сэрэмжлүүлэг үүсгэнэ. Үүний тулд:

1. 1Хайлтын үр дүнгээ нээнэ.

2. 2Aggregation widget, лог харагдац (log view) эсвэл мессеж widget дахь ямар ч утга дээр дарна.

3. 3Унадаг цэснээс Create event definition-ийг сонгоно.

4. 4Гарч ирсэн цонхноос Strategy by сонголтуудын нэгийг сонгоно. Дараах сонголтуудын аль нэгийг ашиглаж болно:

- Exactly this value: Таны одоогийн хайлттай холбоотой параметрүүдийг харуулна. Эдгээрээс аль ч параметрийг нэмж, хасаж болно.
- Any in widget: Сонгосон утгатай холбоотой параметрүүдийг харуулна.
- Custom: Хайлтын асуулгын дурын хэсгийг оруулах боломж олгоно.

5. 5Show strategy details-г дарж, үйл явдлын тодорхойлолтод нэмэхийг хүссэн параметрүүдээ сонгох эсвэл сонголтыг нь болиулна. Энд сонгосон параметрүүд таны үйл явдлын тодорхойлолтын Filter & Aggregation хэсэгт автоматаар бөглөгдөнө.

> Тэмдэглэл: Дээрх гурван сонголтоос гадна таны сонгосон утгаас хамаарч өөр сонголтууд гарч болно. Жишээ нь aggregation widget-ийн метрикийн утгыг сонговол Any in row болон Any in column нэмэлт сонголтууд гарна.

6. 6Continue Configuration-г дарна. Таныг Event Definitions хуудас руу шилжүүлнэ. Event Details хэсэгт үйл явдлын тодорхойлолтдоо давтагдашгүй гарчиг өгч, бусад мэдээллийг бөглөнө. 4, 5-р алхамд хийсэн сонголтууд Filter & Aggregation хэсэгт бөглөгдсөн байна. Энэ цэсэнд хайлтын шүүлтүүр, custom field, сэрэмжлүүлэг нэмж болно.

7. 7Шинэ үйл явдлын тодорхойлолтын хураангуйг хянасны дараа Create event definition-ийг дарна. Шинэ үйл явдлын тодорхойлолт үүсч, заасан нөхцөлд сэрэмжлүүлэг ирнэ.

Тодорхойлсон үйл явдлуудыг удирдах

Тодорхойлсон бүх үйл явдал Alerts & Events хуудсанд байна. Объект бүрийн ач холбогдол, төлөв, хуваарь зэрэг дэлгэрэнгүйг Event Definitions хуудаснаас харна. Scheduling баганад байгаа мэдээллийн дүрсийг дарж төлөв, сүүлд ажилласан хугацаа, дараа ажиллах хугацаа, дараагийн хугацааны муж, дараалалд байгаа мэдэгдлүүдийг харна.

Event Definitions хуудас дээрх Bulk actions цэс нь олон объектыг нэг дор устгах, идэвхжүүлэх, идэвхгүй болгох боломж олгоно. More дор нэг тодорхойлолтыг засах, хувилах, идэвхжүүлэх эсвэл идэвхгүй болгох, устгах боломжтой.

Хайлтыг дахин тоглуулах

Үйл явдлыг анх өдөөсөн хайлтыг дахин тоглуулж болно. Alerts & Events хуудаснаас объект сонгоход Actions дор хайлт дахин тоглуулах сонголт гарна. Хайлтын үр дүн, мессежийг хянаж үйл явдлыг шалгахад чухал мэдээлэл олж авна. Энэ хуудсыг дараа шинжилгээнд лавлахаар хавчуургадаж (bookmark) болно.

Үйл явдлыг хуваарьт ажиллуулах

Cron хуваарь нь үйл явдлыг тогтсон цаг, өдөр, эсвэл өөр давтамжаар үе үе автоматаар ажиллуулах боломж олгоно.

Cron хуваарийн тусламжтайгаар хянах нь утга учиртай, илүү нарийн цагийн цонхыг тодорхойлж болно. Жишээ нь ажлын цагаас гадуур зэрэг ер бусын цагт хийгдсэн нэвтрэлтийн талаар сэрэмжлүүлэг авахаар үйл явдлаа хуваарилж болно. Эсвэл CPU ачаалал багатай шөнийн цагт л ажиллуулах нь зүйтэй нөөц их шаардсан үйл явдлыг тэр үед нь ажиллуулахаар сонгож болно.

Cron хуваарийг cron илэрхийллээр тодорхойлно. Cron илэрхийлэл гэдэг нь хоосон зайгаар тусгаарласан талбаруудаас бүтсэн тэмдэгт мөр юм. Security Data Lake нь Quartz cron синтакс ашигладаг, жишээ нь:

<second> <minute> <hour> <day of month> <month> <day of week> <year>

Жишээ нь үйл явдлыг Даваа гариг бүрийн 8:05 AM-д ажиллуулахыг хүсвэл hour талбарт 8, minute талбарт 5, өдрийн талбарт MON гэж оруулна. Тэгвэл илэрхийлэл дараах байдалтай болно:

0 5 8 ? * MON *

Энэ жишээн дэх <day of month> талбар хамааралгүй тул асуултын тэмдгээр (?) тэмдэглэв. Од (*) тэмдэглэсэн бусад талбар дурын утга авч болно.

Cron илэрхийлэлд хэд хэдэн тусгай тэмдэгт хэрэглэдэг. Түгээмэл нь:

• * : Од нь дурын утга авч болох талбарт хэрэглэгдэнэ. Жишээ нь үйл явдлыг 12 AM-д эхлүүлэхийн тулд 0 0 0 * * * * гэж оруулна. Эхний гурван тэг нь үйл явдал ажиллах second, minute, hour-ыг заана. Үлдсэн талбаруудын од нь тэдгээр талбар бүх утгыг хүлээн авна гэсэн үг.
• ?: Талбарын утга хамаагүй гэсэн үг. Голдуу өдрийн талбарт хэрэглэнэ. Үйл явдлыг долоо хоногийн аль ч өдөр ажиллуулахыг хүсвэл * 5 8 * * ? * мэт илэрхийлэл ашиглаж болно.
• /: Налуу зураас нь мужийг заахад хэрэглэгдэнэ. Жишээ нь M/F нь Даваагаас Баасан хүртэл гэсэн утгатай.

Од болон бусад тусгай тэмдэгт, cron илэрхийлэл бүрдүүлэх талаар нэмж мэдэхийн тулд Cron Trigger Tutorial зэрэг эх сурвалжийг үзнэ үү.

Cron илэрхийллийн синтакс

Түгээмэл cron илэрхийллийн жишээ:

• `0 0 2 `** — 2:00 AM-д.
• `0 0 `* — Цаг тутамд.
• `0 0 9 1-7 `* — Сар бүрийн эхний 7 хоногт 9 AM-д.
• `5/10 `* — Цагийн 5 минутаас эхлээд 10 минут тутамд.
• `0 1/5 7 `* — Сарын 7-ны өдөр цагийн 1 минутаас эхлээд 5 минут тутамд.
• `0 0 7 1 1 ? `** — 1-р сарын 1-ний өдөр бүр 7 AM-аас эхлэн.

Үйл явдлын тодорхойлолтод cron хуваарь нэмэх

Үйл явдлын тодорхойлолтод cron хуваарь нэмэхийн тулд:

1. 1Filter & Aggregation дор Use cron scheduling нүдийг тэмдэглэнэ.
2. 2Cron expression талбарт хүссэн cron илэрхийллээ оруулна.
3. 3Тохирох цагийн бүсийг сонгоно.

Таны cron илэрхийлэл үйл явдлын тодорхойлолтод нэмэгдэж, Event Details дор харагдана.

Жишээ болгон цаг тутмын 15 минутаас эхлээд гучин минут тутамд ажиллах үйл явдлын cron илэрхийллийг зураг дээр үзүүлсэн байдаг (зургийг энд оруулаагүй).

Динамик жагсаалтаар шүүх

Динамик жагсаалт (dynamic list) нь хайлтын зарим аргументыг параметржүүлсэн шүүлтүүр тодорхойлох боломж олгоно. Үйл явдлын тодорхойлолтыг шалгах бүрд эдгээр параметрийг динамик жагсаалтын үр дүнгээр солино.

Динамик жагсаалтыг (жишээ нь lookup table) үйл явдлын тодорхойлолт үүсгэхэд ашиглаж болно:

1. 1Alerts хуудас руу орно.
2. 2Event Definitions руу орж Create Event Definition-ийг дарна.
3. 3Event Details-д шаардлагатай мэдээллийг оруулна.
4. 4Condition Type-аар Filter & Aggregation-ийг сонгоно.
5. 5Search хуудастай ижил синтаксаар хайлтын асуулгаа оруулна.
6. 6Query Parameters талбарт гарч ирсэн зарлагдаагүй параметр дээр дарна. Гарч ирсэн цэсэнд шаардлагатай мэдээллийг оруулаад Save-г сонгоно.
7. 7Үргэлжлүүлэхийн өмнө Filter Preview хэсгээс үр дүнг баталгаажуулна.
8. 8Summary табаас Create event definition-ийг дарна. Одоо энэ үйл явдлын тодорхойлолтод тулгуурласан сэрэмжлүүлэг авна.

Динамик жагсаалтын хэрэглээний жишээ

Энэ тохиолдолд хэрэглэгч аюулгүй байдлын үүднээс хуучин ажилтнуудын жагсаалтыг хянахыг хүсч байна. Жагсаалтад байгаа хэн нэгэн компанийн системд нэвтрэхийг оролдвол сэрэмжлүүлэг авахыг хүснэ. Харьцуулах утгын тоо асар их байдаг тул ийм төрлийн асуулгыг тогтмол засварлан хадгалахад хэцүү байдаг. Lookup table ашигласнаар лог дахь утгыг жагсаалтын дурын утгатай харьцуулах боломжтой болно. Lookup table-д саяхан гарсан ажилтнуудыг оруулаад бүх хуучин ажилтан дээр шинэчлэгдэнэ.

$former_employee$ параметр нь хуучин ажилтнуудын одоогийн жагсаалтыг буцаадаг lookup table-д тулгуурласан. Үйл явдлын тодорхойлолтыг үүсгэсний дараа жагсаалтад байгаа хэн нэгнээс нэвтрэх оролдлого ирвэл хэрэглэгчид сэрэмжлүүлэг очно.

Үйл явдлын тодорхойлолтын хэрэглээний жишээ

Үйл явдлын тодорхойлолтыг хэрхэн үүсгэхийг судалсны дараа энэ хэсэгт wizard-аар шинэ үйл явдлын тодорхойлолт үүсгэж, түүнд сэрэмжлүүлэг залгах дэлгэрэнгүй жишээг үзүүлнэ.

Нөхцөл байдал

Дараах жишээнд Security Data Lake нь нэвтрэхийн тулд баталгаажуулалт шаардлагатай үйлчилгээ (жишээ нь SSH, вэб апп)-ийн лог мессеж хүлээн авч байна. Үйлчилгээний баталгаажуулалт руу brute force (нууц үг таах) халдлага хийгдэж болзошгүй тухай Security Data Lake-ээс и-мэйл авахыг хүсч байна гэе. Нэг хэрэглэгч нэг минутын дотор 10 удаа нэвтрэх оролдлого алдвал Security Data Lake-ээс и-мэйл авахыг хүснэ.

Үйл явдлын мэдээлэл оруулах

Create Event Definition-ийг дарсны дараа үйл явдлын тодорхойлолтын wizard гарна. Энд үйл явдлын тодорхойлолтын гарчиг, тайлбарыг оруулж, ач холбогдлын түвшнийг тогтооно.

Brute force халдлагын тухай мессеж ирсэн нь яаралтай шийдэх ёстой асуудал тул ач холбогдлыг High гэж тогтоогоод дараагийн алхам руу шилжинэ.

Нөхцөлийг тодорхойлох

Зөвхөн нэвтрэх оролдлого алдагдсаныг заасан мессежүүдийг харахыг хүсэж байгаа тул Condition Type-аар Filter & Aggregation-ийг сонгоно. Filter дор оруулахыг хүссэн stream, мессежийн талаарх тодорхой мэдээллийг оруулна.

Шүүлтүүр тодорхойлох

Эхлээд лог файлууд чинь чиглэгддэг stream-ийг сонгоно. Хэрэв вэб аппликейшний stream үүсгээгүй бол Streams нийтлэлээс дэлгэрэнгүй мэдээлэл авахыг зөвлөж байна. Ингэснээр асуулгын үр дүн зөвхөн вэб аппликейшний логоор хязгаарлагдаж, шүүлтүүрийн явцад өөр лог нөлөөлөхгүй.

Одоо ирж буй мессежүүдийг шүүх шаардлагатай бөгөөд ингэснээр шүүлтүүрт таарсан мессежүүдийг дараа нь тоолно. Нэвтрэх оролдлого алдагдсан лог мессеж дараах байдалтай харагдана:

Login failed for user admin from ip 240.210.133.39

Search Query талбарт Login failed for user гэж нэмнэ. Дэлгэцийн баруун талд асуулгад таарсан мессежүүдийг харуулсан урьдчилан харах хүснэгт гарч ирнэ. Урьдчилан харалт нь цагийн муж болгон Search within the last-ийг ашиглана. Одоо лог бичлэг үүсгэвэл асуулгыг шинэчилсний дараа үүнийг харах ёстой.

Search within the last-ийг 10 секунд, Execute search every-ийг 10 секунд болгож тогтооно. Үйл явдлын хөдөлгүүр (event engine) асуулгыг 10 секунд тутамд, 10 секундийн цагийн мужид ажиллуулна.

Aggregation үүсгэх

Үйл явдлууд дээр aggregation хийх (10 секундэд 10-аас олон мессеж байгаа эсэхийг харах) тул Create Events for Definition if... дор Aggregation of results reaches a threshold-ийг сонгоно.

Хэрэглэгч тус бүрийн нэвтрэх оролдлогын алдааны тоог олохын тулд ирж буй мессежүүдэд pipeline нэмэх хэрэгтэй. Pipeline нь хэрэглэгчийн нэрийг гаргаж аваад User талбарт хадгална. Нэвтрэх оролдлого алдагдсан мессеж бүрд User талбар байна. Энэ талбарыг Group by Field(s) сонголтод оруулна.

Эцэст нь aggregation дүрэм нэмнэ: хэрэв count() нь >= 10 бол.

Өмнөх алхмуудыг хянах

Одоогоор хийсэн зүйлсийг дүгнэвэл:

1. 1Шүүх мессежийн тоог багасгахын тулд stream нэмсэн.
2. 2Логийг зөвхөн нэвтрэх оролдлого алдагдсан мессеж болгон шүүх асуулга оруулсан.
3. 3Aggregation-ыг хэрэглэгч тус бүрээр хэрэглэхийн тулд логуудыг бүлэглэсэн.
4. 4Тоо 10-аас их буюу тэнцүү үед л сэрэмжлүүлэг үүсгэх дүрэм нэмсэн.

Одоо Next-ийг дарж Fields таб руу очно.

Custom field нэмэх

Add custom field-ийг дарж үйл явдалд custom field нэмнэ. Таны үйл явдлын тодорхойлолт aggregation хийдэг тул хандаж болох талбар нь зөвхөн Group by Fields-д тохируулсан талбарууд юм. Олон мессежийг нэг үйл явдал болгон нэгтгэхдээ бүлэглээгүй бүх талбараа алдана. Group by Fields-д оруулсан user түлхүүрийг сэрэмжлүүлэгт нэмнэ. Дараа нь шаардлагатай мэдээллийг бөглөнө:

1. 1Түлхүүрт нэр өгнө.
2. 2Use Field as Event Key дор байгаа нүдийг тэмдэглэнэ. Ингэснээр сэрэмжлүүлэг энэ түлхүүрээр бүлэглэгдэнэ. Бүлгийн түлхүүр grace period (хүлээх хугацаа)-д тооцогддог тул дараагийн алхамд энэ чухал. Энд оруулсан тоо бүлэглэлтийн дарааллыг заана. Хэрэв өөр түлхүүр (жишээ нь хэрэглэгч холбогдож буй IP хаяг) нэмбэл эхлээд хэрэглэгчээр, дараа нь IP-ээр бүлэглэх тул IP хаягийн энд 2 гэж оруулна.
3. 3Set Value From-д зориулсан загвар сонгоно. Энэ нь талбарыг үр дүнд гарсан aggregation эсвэл шүүгдсэн лог мессежээс гаргаж авна. ${source.user} гэж оруулна. Үр дүнд гарсан aggregation нь Group By Fields-д оруулсан тул User нэртэй талбар агуулсан эх сурвалж болно.

Хэрэв зөвхөн түлхүүр тохируулсан үйл явдлуудыг авахыг хүсвэл (шүүгдсэн лог мессежтэй үед чухал) Require all template values to be set нүдийг тэмдэглэж болно. Харин энэ нь aggregation учир шаардлагагүй тул дараагийн хуудас руу шилжиж болно.

Сэрэмжлүүлэг нэмэх

Үйл явдал үүсэхэд и-мэйл авахыг хүсэж байна. Үйл явдлыг тохируулснаар түүнийг сэрэмжлүүлэг болгон дээшлүүлнэ. И-мэйл сэрэмжлүүлэг тохируулах талаар сэрэмжлүүлгийн төрлүүд хэсгээс дэлгэрэнгүй уншина уу.

Урьдчилан тодорхойлсон и-мэйл сэрэмжлүүлгээ сонгоод Grace Period-ийг 5 минут болгоно. Brute force халдлагад өртвөл халдлагад өртөж байгаагаа сануулсан и-мэйлийг 10 секунд тутамд авахыг хүсэхгүй. Энэ grace period нь зөвхөн custom field-д сонгосон үйл явдлын түлхүүр тус бүрт мөрдөгдөнө. Тэгэхээр халдагчдын онилж буй хэрэглэгчийн нэр бүрээр л и-мэйл авна.

Энэ нь aggregation хийсэн үйл явдал тул Message Backlog-д тоо оруулах нь тус болохгүй байж болно. Тэмдэглэхгүй орхиж болно. Backlog нь Search within the last-ийн цагийн мужид байгаа бүх мессежийг харуулах бөгөөд таны оруулсан асуулгыг ашиглана. Энд тоо сонговол backlog дахь мессежийн тоо хязгаарлагдана.

Үйл явдлын тодорхойлолтыг хадгалах

Summary хуудсанд үйл явдлын тодорхойлолтоо эцэслэн нэг харна. Бүх тохиргоо зөв эсэхийг шалгасны дараа Create event definition-ийг дарж үйл явдлын тодорхойлолтыг хадгална.

Сэрэмжлүүлгийн жишээ

Халдагч 10 секундээс богино хугацаанд 10 удаа нэвтрэхийг оролдвол доорх мэт и-мэйл хүлээн авна (жишээ и-мэйлийн зургийг энд оруулаагүй).

Хэрэглэгчийг key болгон тохируулсныг анхаарна уу.

Widget үүсгэх

Хайлтын хуудас руу очиж дараах алхмаар widget үүсгэнэ:

1. 1Бүх мессежийг үйл явдал болгон нарийсгахын тулд All events stream-ийг сонгоно.
2. 2Зөвхөн шинэ үйл явдлын тодорхойлолттой холбоотой үйл явдлуудыг харуулахын тулд асуулгад event_definition_id нэмнэ.
3. 3Шинэ aggregation widget үүсгээд Direction-ийг Row, Field-ийг timestamp болгон тохируулна.
4. 4Columns талбарт key гэж бичиж, Metrics дор count()-ийг сонгоно.

Brute force events per user widget-ийг тайланд нэмж болно.