Источники

Параметры источника

Чтобы добавить или изменить источник:

1. Нажмите кнопку добавления рядом с заголовком Список источников либо выберите существующий источник в списке
2. Заполните поле Название — оно обязательно и автоматически приводится к нижнему регистру
3. Переключателем Включить определите, участвует ли источник в отборе событий
4. В поле Паттерн укажите один шаблон с подстановочным знаком, например auditd* — несколько шаблонов через запятую для одного источника не допускаются
5. Нажмите Сохранить, чтобы применить изменения, либо Отменить, чтобы закрыть форму без сохранения

Под полем Паттерн отображается список индексов, совпавших с шаблоном, — по нему видно, какие реальные индексы источника коррелятор учитывает при отборе событий

Семплы событий

Рядом с паттерном и с каждым совпавшим индексом есть кнопка просмотра. По ней открывается окно Семплы событий алиаса с реальными событиями, пришедшими по этому псевдониму. Число семплов, сохраняемых на псевдоним, задается кластерной настройкой ingest.event_sample_size (по умолчанию 10)