Alert-ууд (Сэрэмжлүүлэг) үүсгэх ба тохируулах

Alert (Сэрэмжлүүлэг) нь event-ийн талаар таныг мэдээлэхээр тохируулдаг мэдэгдэл юм. Та үүнийг Alerts (Сэрэмжлүүлэг) дор байх Notifications (Мэдэгдэл) хуудсын Create Notification сонголтоор үүсгэж болно, мөн шинэ event definition-ийг тодорхойлох явцад бас тодорхойлж болно.

Оноосон alert-ууд Notifications хуудсанд харагдана. Энэ хуудас олон зүйлийг нэг дор боловсруулахад тохиромжтой бөгөөд хэд хэдэн объектыг зэрэг засах боломжтой. Alert-ууд идэвхтэй эсэхийг More Actions (Нэмэлт үйлдлүүд) доорх Test Notifications (Мэдэгдлийг турших) товчийг дарж шалгаж болно. Дараа нь объектын гарчгийн доор амжилттай эсвэл алдаатай гэсэн мессеж гарна.

Энэ хэсэгт alert хэрхэн үүсгэх, дэмжигдэх alert-ийн төрлүүд-ийг хэрхэн тохируулахыг тайлбарлана.

Events and Alerts хуудас

General perspective (Ерөнхий харагдац) дахь Alerts & Events хуудасны шүүлтүүр нь зорилтот шүүлтүүр ашиглан тодорхой төрлийн alert-ыг хурдан ялгахад тусална. Ингэснээр идэвхтэй alert-уудын хүрээ нарийсч, хяналт эсвэл мөрдөн шалгалтын үед хамаатай өгөгдөл дээр төвлөрөхөд хялбар болно.

Search Panel (Хайлтын самбар)

Хуудасны дээд хэсэгт түлхүүр үгээр event хайх хайлтын мөр байна. Хайлтын үр дүнг цааш нарийсгахын тулд тодорхой event эсвэл alert олох шүүлтүүрийг ашиглаж болно.

Filters (Шүүлтүүр)

Шүүлтүүр нь event эсвэл alert-ыг нарийн ялгаж шүүх боломж олгоно. Filters-ийн хажууд байгаа + дүрстэй унждаг товчийг сонгож, боломжит шүүлтүүрийн төрлүүдийн жагсаалтыг харна:

• Type — Event-ийн ангиллаар шүүнэ; тухайн зүйл нь event эсвэл alert байж болно.
• Priority — Зөвхөн сонгосон ноцтой байдлын түвшинтэй (жишээ нь Low, Medium, High) event-үүдийг харуулна.
• Timestamp — Огнооны/цагийн мужаар event шүүх хугацааны цонхыг тодорхойлно; incident-ийг эргэн хянахад хэрэгтэй.
• Event Definition — Урьдчилан тодорхойлсон системийн эсвэл хэрэглэгчийн тодорхойлсон event дүрмүүд дээр суурилсан event эсвэл alert-ыг л харуулна.
• Aggregation time range — Event definition-ийг үнэлэхэд ашиглах хугацааны цонх.
• ID — Мэдэж байгаа тохиолдолд тодорхой event ID-аар хайна.

Шүүлтүүр хэрэглэхэд Filters унждаг цэсийн хажууд шошго хэлбэрээр харагдана. Нарийн зорилтот шүүлтэд олон шүүлтүүрийг сонгож хослуулж болно.

Metrics Graph Widget (Хэмжүүрийн график)

Энэ widget нь event-ийн тоог цаг хугацааны дагуу зурна. Event-ийн огцом өсөлт, хандлагыг хурдан тодорхойлоход тусална.

• Blue Line (Events): Event-үүд цэнхэр өнгөөр тэмдэглэгдэж, илрүүлсэн event-үүдийг илэрхийлнэ.
• Orange Line (Alerts): Alert-ууд улбар шар өнгөөр тэмдэглэгдэж, ажилласан alert-уудыг онцолно.
• Interactive Axis: Графикийн цэг дээр хулганаа аваачвал тухайн цаг үеийн event-ийн тооны хураангуй гарна. X тэнхлэг нь цаг хугацааны шугам, Y тэнхлэг нь тоог илэрхийлнэ.
• Export: Графикийг татах дүрсээр тайланд зориулан экспортлож болно.
• Auto-refresh: Not updating унждаг цэсийг дарж хугацаа (жишээ нь 5 секунд, 10 секунд, 1 минут эсвэл 5 минут) сонгон шинэчлэлтийн горимыг тохируулснаар бодит цагийн хяналт хийнэ.

Энэ widget нь хортой үйлдлийн огцом өсөлтийг илрүүлэх эсвэл цаг хугацааны явцад alert-ын хэмжээг үнэлэхэд чухал.

Хэрэв “No events have been found” гэсэн мессеж гарвал сонгосон шүүлтүүр эсвэл хугацаанд ямар ч event definition дүрэм ажиллаагүй гэсэн үг. Та дараахыг хийх хэрэгтэй байж болно:

• Timestamp-ийн мужийг өргөтгөх.

• Шүүлтүүрийг арилгах.

• Backend дээр event үүсэж байгааг баталгаажуулах.

Metrics график доор бүх event болон alert-ууд хүснэгтэд жагсаж харагдана. Баганууд нь event/alert-ын тайлбар, priority, key, type, event definition, event definition type, timestamp болон actions дарааллаар эхэлнэ. Columns унждаг товчийг дарж боломжит баганын ангиллыг сонгон нэмэлт багана харуулах эсвэл хасаж болно.

Харагдаж буй бүх alert, event-ийн жагсаалтаас event эсвэл alert дээр дарж дэлгэрэнгүйг нээж харах, эсвэл Actions баганын Details товчийг дарж болно. Мөн Actions баганын More унждаг цэсийн товчийг дараад Send Notifications-ийг сонгон event-д мэдэгдэл нэмж болно.

Alerts хуудасны жишээ

Амжилтгүй input-уудыг шүүлтүүрээр шийдэж болно. Жишээ нь INPUT_FAILING: An input has failed to start гэх event нь alerts and events хуудсанд гарч ирдэг системийн эгзэгтэй сэрэмжлүүлэг юм. Type = Event, Event Definition = System notification events болон Priority = Low/High гэж шүүснээр ийм төрлийн event-үүдийг хурдан ялгаж, хариу арга хэмжээ авах эсвэл дээд шатанд шилжүүлэх боломжтой.

Alerts цэснээс alert үүсгэх

1. 1Alerts цэс рүү орж Notifications-ийг сонгоно.

2. 2Create notification товчийг сонгоно.

3. 3Дараах талбаруудыг бөглөнө:

1. Title: Alert-даа өвөрмөц гарчиг өгнө.
2. Description (заавал биш): Хүсвэл энэ талбарт alert-ын талаар нэмэлт мэдээлэл бичиж болно.
3. Notification Type: Унждаг цэснээс alert-ын төрлийг сонгоно.

4. 4Alert-ын төрлийг сонгосны дараа сонгосон төрлөөс хамаарсан нэмэлт талбарууд гарна. Alert-ын төрлүүд болон тус бүрд тохируулах гол талбаруудыг Alert Types хэсэгт тайлбарласан.

5. 5Энэ үед Execute Test Notification-ийг сонгон alert-аа турших боломжтой.

6. 6Create notification дээр дарна.

New Event Definition урсгалаар alert үүсгэх

Шинэ event тодорхойлж байх явцдаа бас alert үүсгэж болно.

1. 1New Event Definition цэсийн мөрөнд Notifications сонголт байна.

2. 2Add Notification дор унждаг цэснээс Create New Notification-ийг сонгоно.

3. 3Гарч ирсэн цэсэнд дараах талбаруудыг бөглөнө:

1. Title: Alert-даа өвөрмөц гарчиг өгнө.
2. Description (заавал биш): Хүсвэл энэ талбарт alert-ын талаар нэмэлт мэдээлэл бичиж болно.
3. Notification Type: Унждаг цэснээс alert-ын төрлийг сонгоно.

4. 4Alert-ын төрлийг сонгосны дараа сонгосон төрлөөс хамаарсан нэмэлт талбарууд гарна. Alert-ын төрлүүд болон тус бүрд тохируулах гол талбаруудыг Alert Types хэсэгт тайлбарласан.

5. 5Энэ үед Execute Test Notification-ийг сонгон alert-аа турших боломжтой.

6. 6Create notification дээр дарна.

Alert-д ашиглах боломжтой metadata

Alert үүсгэхдээ event definition, event өөрөө болон event-ийн backlog мессежүүдийн (backlog хадгалахаар тохируулсан бол) metadata-г ашиглаж болно. Энэ metadata-г email, Slack, Microsoft Teams alert-ыг форматлахад эсвэл script alert-д аргумент өгөхөд хэрэглэнэ.

Жишээ нь Slack alert-даа илүү их мэдээлэл оруулъя гэвэл Custom Message хэсэгт шинэ талбар нэмж болно. Харахыг хүсэхгүй талбараа энэ хэсгээс устгаж болно.

Эсвэл script alert-д аргумент нэмж alert-даа илүү мэдээлэл оруулж болно.

Объектын төрөл тус бүрт боломжтой талбарууд доор байна.

Event Definition Metadata

• `event_definition_id` — String; event definition-ийн өгөгдлийн сангийн ID
• `event_definition_type` — String; event definition-ийн төрлийн дотоод нэр (aggregation-v1 эсвэл correlation-v1)
• `event_definition_title` — String; UI дээр тохируулсан гарчиг
• `event_definition_description` — String; UI дээр тохируулсан тайлбар
• `job_definition_id` — String; хуваарьт event definition-тэй холбоотой дотоод job definition ID
• `job_trigger_id` — String; job-ын одоогийн гүйцэтгэлтэй холбоотой дотоод ID

Event Metadata

• `event` — (төрөл заагаагүй); Security Data Lake-д хадгалагдсан хэлбэрээрх event
• `id` — String; хадгалагдсан event-ийн message ID
• `event_definition_id` — String; event definition-ийн өгөгдлийн сангийн ID
• `event_definition_type` — String; event definition-ийн төрлийн дотоод нэр (aggregation-v1 эсвэл correlation-v1)
• `origin_context` — String; энэ event-ийг үүсгэсэн message эсвэл event-ийн URN (event эсвэл message) (хоосон байж болно)
• `timestamp` — DateTime; үндсэн event эсвэл message-ийн timestamp байж болно (дээрх origin_context-ыг үз)
• `timestamp_processing` — DateTime; Security Data Lake event-ийг үүсгэсэн цаг
• `timerange_start` — DateTime; Security Data Lake энэ event-ийг үүсгэхэд ашигласан өгөгдлийн цонхны эхлэл (хоосон байж болно)
• `timerange_end` — DateTime; Security Data Lake энэ event-ийг үүсгэхэд ашигласан өгөгдлийн цонхны төгсгөл (хоосон байж болно)
• `streams` — String; event хадгалагдсан stream ID-уудын жагсаалт
• `source_streams` — String; event өгөгдлөө авсан stream ID-уудын жагсаалт
• `alert` — Boolean; энэ event-ийг alert гэж үзэх эсэх; alert-тэй event definition-д үргэлж true
• `message` — String; энэ event-ийг тайлбарласан хүнд ойлгомжтой мессеж
• `source` — String; энэ event-ийг үүсгэсэн Security Data Lake серверийн хост нэр
• `key_tuple` — String; event-ийн key-г бүрдүүлэх утгуудын жагсаалт
• `key` — String; event-ийн key-г нэг мөр болгосон хэлбэр
• `priority` — Long; event-ийн priority утга
• `fields` — Map; event-д хавсаргасан хэрэглэгчийн тодорхойлсон талбарууд

Backlog Metadata

• `backlog` — (төрөл заагаагүй); alert үүсэхэд хүргэсэн мессеж эсвэл event-үүдийн жагсаалт
• `id` — String; message ID
• `index` — String; мессеж хадгалагдсан index-ийн нэр; id-тай хамт Security Data Lake дахь мессежийг өвөрмөцөөр тодорхойлоход ашиглана
• `source` — String; мессежийн source талбар
• `message` — String; мессежийн message талбар
• `timestamp` — DateTime; мессежийн timestamp талбар
• `stream_ids` — String; мессежийн stream ID-ууд
• `fields` — Map; мессежийн үлдсэн талбарууд (давталтаар гүйлгэж болно)

Дараалалд орсон alert-уудыг устгах

Боловсруулалт зогсч, event-ийн шинэчлэлтүүд дараалалд овоорч эхэлбэл та мэдэлгүй хэт олон alert ажиллуулсан байж болзошгүй. Alert-ын цутгалтаас сэргийлэхийн тулд event definition-д alert grace period (хүлээх хугацаа) заавал тохируулаарай. Grace period нь ижил event-д хэчнээн alert ажиллахыг хязгаарлах хурдны хязгаар тогтооно. Ингэснээр event alert-ууд дараалалд орохоос сэргийлнэ. Grace period байхгүй бол хэт олон event-ийн trigger нь alert-ын овор үүсгэж болно.

Дараалалд орсон event alert-тай тулгарвал alert-ын дарааллыг цэвэрлэх хоёр арга бий.

Alert-ын дарааллыг гараар цэвэрлэх

Интерфэйсээр дамжуулан alert-ын дарааллыг гараар цэвэрлэнэ:

1. 1Alerts > Event Definitions гэж сонгон Events Definition цэс рүү орно.
2. 2Боломжит definition-ийн жагсаалтаас Scheduling доорх Information icon дээр дарна.
3. 3Event definition-ийн цэс дэлгэгдэнэ. Энд дараалалд орсон alert-ын тоог харна. Дараалалд орсон alert олон байвал энэ нь ихэвчлэн хэвийн бус байдлын шинж юм. Queued alerts мөрөн дээрх clear-ийг дарж сонгосон event definition-ий дараалалд орсон alert-уудыг цэвэрлэнэ.

Event-ийг идэвхгүй болгох

Мөн event-ийг идэвхгүй болгосноор alert-ын дарааллыг цэвэрлэж болно.

1. 1Өмнөх жишээнийх шиг Events Definitions таб руу орно.
2. 2Event definition-ийнхоо хажууд байгаа More унждаг товчийг дараад идэвхгүй болгохыг хүссэн event-ийнхээ цэснээс Disable-ийг сонгоно.
3. 3Disable-ийг сонгоход баталгаажуулахыг хүссэн цонх гарна.
4. 4Идэвхгүй болгосны дараа сонгосон event definition идэвхгүй боллоо гэсэн мэдэгдэл гарна.

Alert Types (Alert-ын төрлүүд)

Alerts-д дурдсанаар, alert нь event-ийн талаар таныг мэдээлэхээр тохируулдаг мессеж юм. Event definition үүсгэх явцад event-д alert холбож, тэр alert-ыг хэрхэн илгээхийг (email, Slack эсвэл Discord alert гэх мэт) сонгож болно.

Security Data Lake дараах аргаар alert-ыг дэмжинэ:

PagerDuty Alerts

PagerDuty alert нь таны Security Data Lake сервер дэх event-үүдэд хариу болгон PagerDuty-д шинэ incident үүсгэх боломж олгоно. PagerDuty-д зориулсан New Notification цэсэнд тодорхойлох дэмжигдсэн тохиргооны сонголтууд:

• Routing Key

Таны PagerDuty integration routing key.

• Use a Custom Incident Key

Идэвхжүүлбэл Incident Key Prefix-ийг ашиглан incident key үүсгэнэ. Ингэснээр PagerDuty нэг event-д олон incident үүсгэхээс сэргийлнэ. Сонгоогүй бол incident key үүсгэгдэхгүй БАЙНА, тиймээс event-ийн мэдэгдэл бүр PagerDuty-д шинэ incident үүсгэнэ.

• Incident Key Prefix

Custom incident key идэвхтэй бол incident key-ийн угтвар болгон ашиглана.

• Client Name

PagerDuty incident-ийг ажиллуулсан Security Data Lake системийн нэр.

• Client URL

Таны Security Data Lake вэб интерфэйсийн URL. Өгсөн бол таны PagerDuty incident дотор шигтгэгдэх холбоосыг бүтээхэд ашиглана.

Slack Alerts

Slack нь таны Security Data Lake сервер дэх event-үүдэд хариу болгон Slack workspace руу alert илгээх боломж олгоно. Slack-д зориулсан New Notification цэсэнд тодорхойлох дэмжигдсэн тохиргооны сонголтууд:

• Configuration Color

Custom message-ийг дуртай өнгөөрөө онцлох.

• Webhook URL

Таны Slack руу мессеж илгээхэд ашиглах өвөрмөц URL.

• Channel

Мессеж илгээх channel, эсвэл alert хүлээн авахаар @user эсвэл @team-ийг сонгож болно.

• Custom Message

Slack руу илгээгдэх мессеж. Дээр тайлбарласан өгөгдлийг энэ загварт ашиглаж болно.

> Тэмдэглэл: Slack alert-ыг тусгай хүлээн авагчид илгээхийн тулд Custom Message загварын эхэнд тэдний Slack ID эсвэл хэрэглэгчийн нэрийг нэмнэ. Slack ID-г Slack хэрэглэгчийн профайлаас олно. Мөн хүлээн авагчийн email-ийн хэрэглэгчийн нэрийг, өөрөөр хэлбэл email хаягийн @ тэмдгээс өмнөх хэсгийг нэмж болно.

• Time Zone for Date/Time Values

Alert дахь timestamp-д ашиглах цагийн бүсээ сонгоно. Өгөгдмөлөөр UTC байна.

• Message Backlog Limit (optional)

Slack alert-ын хэсэг болгон илгээх backlog мессежийн тоог хязгаарлана. 0 гэж тохируулбал хязгаар үйлчлэхгүй.

• User Name (optional)

Slack дахь илгээгчийн хэрэглэгчийн нэр.

• Selections (дараах сонголтуудыг идэвхжүүлж болно):

- Include Title: Идэвхжүүлбэл alert-д event definition-ий бүтэн гарчиг, тайлбарыг оруулна.
- Notify Channel: Идэвхжүүлбэл @channel ашиглан channel дахь бүх хэрэглэгчид мэдэгдэнэ.
- Notify Here: Идэвхжүүлбэл @here ашиглан channel дахь зөвхөн идэвхтэй хэрэглэгчдэд мэдэгдэнэ.
- Link Names: Идэвхжүүлбэл alert дахь channel болон хэрэглэгчийн нэрийг олж холбоос болгоно.

• Icon URL (optional)

Энэ мессежийн дүрс болгон ашиглах зураг.

• Icon Emoji (optional)

Энэ мессежийн дүрс болгон ашиглах emoji (icon URL-ыг дарна).

Microsoft Teams Alerts

Microsoft Teams мэдэгдэл нь таны Security Data Lake-д тодорхой event гарахад Teams channel руу мессеж илгээх боломж олгоно. Үүнийг Microsoft Teams дотор үүсгэсэн workflow-оор гүйцэтгэнэ. Microsoft Teams Notification V2 нь Post to a channel when a webhook request is received workflow руу adaptive card илгээхийг дэмжинэ.

Microsoft Teams дээр workflow үүсгэх

Microsoft Teams дээр workflow үүсгэх алхмууд:

1. 1Apps > Workflows > Manage Workflows > Create гэж орно.
2. 2Notifications дор Post to a channel when a webhook request is received-ийг хайна. Workflow-д хамгийн их ашиглагддаг загварыг сонгоно.
3. 3Workflow-доо өвөрмөц гарчиг өгөөд Add Workflow дээр дарна.
4. 4Гарч ирэх цонхонд харагдах webhook URL-ыг хадгална. Дараа нь Security Data Lake notification тохируулахад үүнийг шаардана.

Adaptive card-ыг засахын тулд:

1. 1Дараагийн цонхонд Manage your workflow дээр дарна.

2. 2Дараагийн хуудсан дээр Edit дээр дарна.

3. 3Send each adaptive card үйлдлийг дэлгэнэ.

4. 4body.attachments-ийг dynamic content сонголтуудаас олдох attachments-аар солино.

5. 5Post card in a chat or channel-ийг дарна.

6. 6Post as User-ийг сонгоно.

7. 7Post In, Team болон Channel-ийн сонголтоо хийнэ.

8. 8Workflow-г хадгална.

> Тэмдэглэл: Хэрэв өмнө нь webhook URL-ыг хуулаагүй бол When a Teams webhook request is received trigger-ийг дэлгэж webhook URL-ыг хуулж авч болно.

Webhook URL-тай болсны дараа Security Data Lake руу орж Microsoft Teams Notification V2 үүсгэнэ.

Security Data Lake дээр Microsoft Teams notification үүсгэх

1. 1Alerts > Notifications руу орж Create notification дээр дарна.
2. 2Notification-д өвөрмөц гарчиг, тайлбар өгнө.
3. 3Notification Type унждаг цэснээс Microsoft Teams Notification V2-ийг сонгоно.
4. 4Өмнө хадгалсан URL-аа Webhook URL талбарт оруулна.
5. 5Өгөгдмөл Adaptive Card Template нь таны анхны adaptive card-тай төстэй. Өөрчлөхийг хүсвэл Microsoft-ийн Adaptive Card Designer-ийг ашиглана.
6. 6Time zone for date/time values дор тохирох цагийн бүсийг сонгоно. Өгөгдмөлөөр UTC байна.
7. 7Backlog limit сонгоно. Энэ нь заавал биш.
8. 8Notification-ий ажиллагааг баталгаажуулахын тулд Execute Test Notification дээр дарна.
9. 9Create Notification дээр дарна.

Script Alerts (зөвхөн Enterprise)

Script alert сонголт нь alert ажиллахад гүйцэтгэгдэх script-ийг тохируулах боломж олгоно.

Script alert-д зориулсан New Notification цэсэнд тодорхойлох дэмжигдсэн тохиргооны сонголтууд:

• Script Path

Script байрлах зам. Зөвшөөрөгдсөн script замын (өөрчлөх боломжтой) дотор байх ёстой.

• Script Timeout

Script хүчээр зогсоогдохоос өмнө ажиллахыг зөвшөөрөх дээд хугацаа (миллисекундээр).

• Script Arguments

Зайгаар тусгаарласан параметрийн мөр. Дээр тайлбарласан аливаа өгөгдлийг ашиглаж болно.

• Send Alert Data Through STDIN

Дээр тайлбарласан JSON-аар кодлогдсон өгөгдлийг standard in-ээр илгээнэ. Script дотроо JSON parser ашиглаж болно.

Script Alert амжилттай эсэхийг exit утгаар тодорхойлно; нуль бол амжилттай. Нуль биш аливаа exit утга бүтэлгүйтэхэд хүргэнэ. STDERR-ээр аливаа алдааны текст буцаавал alarm callback мөн бүтэлгүйтнэ.

Доорх жишээ Python script нь Script Alert-ын дэмждэг бүх боломжийг (аргумент задлах, STDIN JSON задлах, STDOUT, exit утгууд, exit утга буцаах) харуулна.

#!/usr/bin/env python3
import json
import sys

# Function that prints text to standard error
def print_stderr(*args, **kwargs):
    print(*args, file=sys.stderr, **kwargs)

# Main function
if __name__ == "__main__":

    # Print out all input arguments.
    sys.stdout.write("All Arguments Passed In: " + ' '.join(sys.argv[1:]) + "\n")

    # Turn stdin.readlines() array into a string
    std_in_string = ''.join(sys.stdin.readlines())

    # Load JSON
    event_data = json.loads(std_in_string)

    # Extract some values from the JSON.
    sys.stdout.write("Values from JSON: \n")
    sys.stdout.write("Event Definition ID: " + event_data["event_definition_id"] + "\n")
    sys.stdout.write("Event Definition Title: " + event_data["event_definition_title"] + "\n")
    sys.stdout.write("Event Timestamp: " + event_data["event"]["timestamp"] + "\n")

    # Extract Message Backlog field from JSON.
    sys.stdout.write("\nBacklog:\n")
    for message in event_data["backlog"]:
        for field in message.keys():
            sys.stdout.write("Field: " + field + "\t")
            sys.stdout.write("Value: " + str(message[field]) + "\n")

    # Write to stderr if desired
    # print_stderr("Test return through standard error")

    # Return an exit value. Zero is success, non-zero indicates failure.
    exit(0)

Email Alerts

Email alert нь нөхцөл биелэхэд тохируулсан alert хүлээн авагчдад email илгээхэд ашиглагдана. Security Data Lake-ийн тохиргооны файл дахь email-тэй холбоотой тохиргоог шалгаж үзээрэй.

Илгээгдэх email-ийг өөрчлөх хэд хэдэн тохиргооны сонголт байна. Email-ийн агуулга болон гарчиг нь JMTE загварууд гэдгийг анхаараарай. JMTE нь хувьсагч, давталт, нөхцөлийг дэмждэг минимал загварын хөдөлгүүр юм. Хэлний лавлагааг JMTE documentation-оос үзнэ үү.

Өгөгдмөл body загвар нь загвар дотор боломжит мэдээлэлд хандах зарим нарийвчилсан жишээг харуулна:

--- [Event Definition] ---------------------------
Title:       ${event_definition_title}Description: ${event_definition_description}
Type:        ${event_definition_type}
--- [Event] --------------------------------------
Timestamp:            ${event.timestamp}
Message:              ${event.message}
Source:               ${event.source}
Key:                  ${event.key}
Priority:             ${event.priority}
Alert:                ${event.alert}
Timestamp Processing: ${event.timestamp}
Timerange Start:      ${event.timerange_start}
Timerange End:        ${event.timerange_end}
Fields:
${foreach event.fields field}${field.key}: ${field.value}
${end}
${if backlog}
--- [Backlog] ------------------------------------
Last messages accounting for this alert:
${foreach backlog message}
${message}
${end}
${end}

Email alert-д зориулсан New Notification цэсэнд тодорхойлох дэмжигдсэн тохиргооны сонголтууд:

• Subject

Email alert-ын гарчиг. Дээр дурдсанаар email гарчиг нь JMTE загвар юм.

• Send notification as a single email to all recipients

Бүх хүлээн авагчид нэг мессеж илгээхийн тулд энэ нүдийг ашиглана. Энэ сонголт нь хэрэглэгчдэд хариу бичиж alert-ын талаар яриагаа үргэлжлүүлэх боломж олгоно. Сонгоогүй бол хүлээн авагч бүр тусдаа alert мессеж авна.

• Reply-To (optional)

Шаардлагатай бол хүлээн авагчид хариу бичих email хаяг.

• Sender (optional)

Илгээгчийн хаяг болгон ашиглах email хаяг. Талбарыг хоосон орхивол өгөгдмөл хаягийг ашиглана.

• User recipient(s) (optional)

Alert-ын To мөрөнд нэмэх Security Data Lake хэрэглэгчдийг сонгоно.

• Email recipient(s) (optional)

Alert-ын To мөрөнд нэмэлт email хаяг оруулна.

• CC User(s) (optional)

Alert-ын CC мөрөнд нэмэх Security Data Lake хэрэглэгчдийг сонгоно.

• CC Email(s) (optional)

Alert-ын CC мөрөнд нэмэлт email хаяг оруулна.

• BCC User(s) (optional)

Alert-ын BCC мөрөнд нэмэх Security Data Lake хэрэглэгчдийг сонгоно.

• BCC Email(s) (optional)

Alert-ын BCC мөрөнд нэмэлт email хаяг оруулна.

• Time zone for date/time values (optional)

Email-ийн агуулгад тусгай цагийн бүс ашиглахаар сонгож болно.

• Body Template

Email-ийн агуулгыг үүсгэхэд ашиглах загвар. Дээр дурдсанаар email body нь JMTE загвар юм.

• HTML Body Template

Email-ийн HTML агуулгыг үүсгэхэд ашиглах загвар.

Dynamic Email Notification Addresses (Динамик email хаягууд)

Security Data Lake нь email мэдэгдлийг олон хүлээн авагчид илгээхийг дэмжинэ. Нэг event definition-ийг мэдэгдэлтэй хослуулж alert үүсгэх бөгөөд үүнийг lookup table ашиглан олон email хаяг руу илгээж болно.

Reply-To email, Sender email болон Email Recipients утгуудыг холбогдох нүдийг сонгон lookup table ашиглахаар өөрчилж болно. Дараа нь дараахыг сонгоно:

• Ашиглах lookup table.
• Хайлтад ашиглах event-ийн талбар.

Жишээ нь Use lookup table for email recipients нүдийг сонгосноор email мэдэгдлийг үйлчлүүлэгчийн ID-г email хаягтай холбосон lookup table-ээс олдсон үйлчлүүлэгч рүү илгээхээр тохируулж болно. Ингэснээр олон үйлчлүүлэгчид тусдаа alert тохируулах шаардлагагүй болно. Харьцуулалтыг lookup table хийнэ.

HTTP Alerts

HTTP alert нь alert ажиллахад дуудагдах endpoint-ийг тохируулах боломж олгоно.

Security Data Lake нь alert-ын URL руу alert-ын мэдээллийг агуулсан POST хүсэлт илгээнэ. Хүсэлтийн body нь дээр тайлбарласан JSON-аар кодлогдсон өгөгдөл юм.

Alert-д орох payload-ын жишээ:

{
  "event_definition_id": "this-is-a-test-notification",
  "event_definition_type": "test-dummy-v1",
  "event_definition_title": "Event Definition Test Title",
  "event_definition_description": "Event Definition Test Description",
  "job_definition_id": "<unknown>",
  "job_trigger_id": "<unknown>",
  "event": {
    "id": "NotificationTestId",
    "event_definition_type": "notification-test-v1",
    "event_definition_id": "EventDefinitionTestId",
    "origin_context": "urn:graylog:message:es:testIndex_42:b5e53442-12bb-4374-90ed-0deadbeefbaz",
    "timestamp": "2020-05-20T11:35:11.117Z",
    "timestamp_processing": "2020-05-20T11:35:11.117Z",
    "timerange_start": null,
    "timerange_end": null,
    "streams": [
      "000000000000000000000002"
    ],
    "source_streams": [],
    "message": "Notification test message triggered from user <admin>",
    "source": "000000000000000000000001",
    "key_tuple": [
      "testkey"
    ],
    "key": "testkey",
    "priority": 2,
    "alert": true,
    "fields": {
      "field1": "value1",
      "field2": "value2"
    }
  },
  "backlog": []
}

HTTP alert-д зориулсан New Notification цэсэнд тодорхойлох дэмжигдсэн тохиргооны сонголтууд:

• URL

Event гарахад POST хийх URL.

• Skip TLS Verification (optional)

URL-ын TLS гэрчилгээний шалгалтыг алгасахын тулд энэ сонголтыг сонгоно.

• Basic Authentication (optional)

Basic authentication мөр нь дараах хэлбэртэй байх ёстой: <username>:<password>.

• API Key (optional)

Хүсвэл API key оруулна. API secret тохируулсан бол API key мөн заавал тохируулагдсан байх ёстойг анхаараарай.

• API Secret (optional)

Хүсвэл secret оруулна. API secret тохируулсан бол API key мөн заавал тохируулагдсан байх ёстойг анхаараарай.

• Send API Key/Secret as Header (optional)

API key болон secret-ийг HTTP хүсэлтийн header болгон илгээхийн тулд энэ сонголтыг сонгоно. Сонгоогүй бол API key, secret нь хүсэлтийн URL-д query параметр болж илгээгдэх бөгөөд энэ нь аюулгүй байдлын хувьд сул, зарим программ хүлээн авахгүй байж болно.

Custom HTTP Alerts

Custom HTTP alert нь стандарт HTTP alert-ын (дээрх) бүх сонголтыг агуулахаас гадна мэдээлэл хэрхэн илгээгдэж, форматлагдахыг тохируулах нэмэлт сонголттой. Жишээ нь POST болон PUT аргад өөр өөр content type сонгож, нэмэлт header оруулж болно.

HTTP хүсэлтийн body-г JMTE загвараар өөрчилж болно. JMTE нь хувьсагч, давталт, нөхцөлийг дэмждэг минимал загварын хөдөлгүүр юм. Хэлний лавлагааг JMTE documentation-оос үзнэ үү.

HTTP alert-д дурдсан сонголтуудаас гадна custom HTTP alert тодорхойлохын тулд New Notification цэсэнд дараах сонголтуудыг тохируулна:

• Headers (optional)

Alert-тэй хамт оруулах нэмэлт HTTP header-ууд.

> Тэмдэглэл: Хэрэв энэ notification Security Data Lake REST API-г дуудаж байвал зохих зөвшөөрөл өгөхөөс гадна X-Requested-By нэртэй header нэмэх шаардлагатай. Энэ header байхгүй бол Security Data Lake API дуудлагыг татгалзана.

• HTTP Method

Alert-ын методын төрлийг сонгоно. Өгөгдмөл утга нь POST. GET хүсэлтээс буцсан аливаа хариуг үл тооно.

• Content Type

Alert-ын body-ийн content type-ыг сонгоно. Өгөгдмөл утга нь application/JSON. Энэ сонголт зөвхөн POST болон PUT метод дээр боломжтой.

• Time zone for date/time values

Alert-ын body-д орох огноо, цагийг форматлах цагийн бүсийг сонгоно. Өгөгдмөл утга нь UTC. Энэ сонголт зөвхөн POST болон PUT метод дээр боломжтой.

• Body Template

Alert-ын body-г үүсгэхэд ашиглах загварын талбар. Content type бүр өөрийн өгөгдмөл загвартай. Өгөгдмөл загварыг ашиглах эсвэл өөрийн хэрэгцээнд тохируулахын тулд JMTE documentation-ыг үзнэ үү.

Хэрэв энэ талбарыг хоосон орхивол alert объектыг бүхлээр нь илгээнэ. application/JSON болон text/plain content type-д body нь дээрх стандарт HTTP alert-тай ижил байна. application/x-www-form-urlencoded-д хоосон body нь дараах хэлбэртэй payload үүсгэнэ:

```
event_definition_id=NotificationTestId&event_definition_type=test-dummy-v1&event_definition_title=Event%20Definition%20Test%20Title&event_definition_description=Event%20Definition%20Test%20Description&job_definition_id=%3Cunknown%3E&job_trigger_id=%3Cunknown%3E&event_id=TEST_NOTIFICATION_ID&event_origin_context=urn%3Agraylog%3Amessage%3Aes%3AtestIndex_42%3Ab5e53442-12bb-4374-90ed-0deadbeefbaz&event_timestamp=2023-11-17T11%3A49%3A40.905-06%3A00&event_timestamp_processing=2023-11-17T11%3A49%3A40.905-06%3A00&event_timerange_start=&event_timerange_end=&event_streams=%5B000000000000000000000002%5D&event_source_streams=%5B%5D&event_message=Notification%20test%20message%20triggered%20from%20user%20%3Clocal%3Aadmin%3E&event_source=000000000000000000000001&event_key_tuple=%5Btestkey%5D&event_key=testkey&event_priority=2&event_fields=%7Bfield1%3Dvalue1%2C%20field2%3Dvalue2%7D&backlog=%5B%5D
```