Правила выявления аномалий
Правило выявления определяет, какие сработки объекта становятся аномалией. Аномалии отображаются в ленте аномалий.
Чтобы перейти к правилам, выберите Навигационное меню - User Behavior Analytics - Правила выявления аномалий.
Список правил
Таблица содержит следующую информацию:
- Правило - название
- Категории объектов - категории, к которым применяется правило
- Тип - способ, которым правило отбирает сработки в аномалию
- Условие - порог или семейства
- Окно - длина окна
Создание правила
Чтобы создать правило, выполните следующие действия:
- Откройте список правил выявления аномалий
- Нажмите кнопку
Создать правило - Заполните поле
Название. Два правила с одинаковым названием сохранить нельзя - При необходимости измените описание. Подробнее - в разделе Описание
- Выберите тип правила. Подробнее - в разделе Типы правил
- Выберите категории объектов. Требуется хотя бы одна категория
- Задайте условие: для порога балла - поле
Балл аномалии не ниже, для набора и цепочки - семейства правил - Задайте окно: целое число минут, часов или суток
- Нажмите кнопку
Сохранить
Типы правил
- Порог балла - балл аномалии за окно не ниже порога от 0 до 100. Например, балл не ниже 40 за сутки
- Набор семейств - за окно сработали правила всех выбранных семейств в любом порядке. Требуется не меньше двух семейств
- Цепочка семейств - за окно сработали правила всех выбранных семейств, и первые сработки идут в заданном порядке. Требуется не меньше двух семейств
Балл аномалии для порога рассчитывается так же, как балл объекта, по правилам, сработавшим за окно, с весами критичности категории, но без эффектов списков наблюдения.
Описание
Описание - текст строки в ленте аномалий. Значения, меняющиеся от аномалии к аномалии, задаются подстановками:
| Подстановка | Значение | Тип правила |
|---|---|---|
{{score}} | балл аномалии | все |
{{alerts_count}} | число сработок | все |
{{chain}} | семейства в порядке первой сработки | цепочка семейств |
Порог и семейства условия указываются текстом. Подстановка, недоступная для типа правила, не позволяет сохранить правило.
При создании правила и смене типа подставляется шаблон типа. Пустое описание также заменяется шаблоном:
| Тип правила | Шаблон по умолчанию |
|---|---|
| Порог балла | Балл {{score}}, сработок: {{alerts_count}} |
| Набор семейств | Сработали все семейства правила, сработок: {{alerts_count}} |
| Цепочка семейств | {{chain}}, балл {{score}} |