Заполнение списка объектов

Заполнение списка объектов осуществляется двумя способами:

• Ручное создание и редактирование объекта
• Автоматическое заполнение объектов путем настройки конфигурации по заданному расписанию

Ручное заполнение объектов

Ручная настройка позволяет создать или редактировать объект путем заполнения полей объекта.

Ручное создание объекта

Чтобы создать новый объект, выполните следующие действия:

1. Выберите пункт Объекты в навигационном меню в разделе User Behavior Analytics
2. Выберите необходимый тип объектов в выпадающем списке Выбрать тип сверху таблицы
3. Нажмите кнопку Создать в верхней части страницы, справа от поля поиска
4. В модальном окне заполните форму и нажмите Создать

5. Созданный объект появится в списке объектов

Чтобы редактировать объект, выполните следующие действия:

1. Выберите пункт Объекты в навигационном меню в разделе User Behavior Analytics
2. Найдите объект в таблице объектов
3. Нажмите на иконку карандаша в крайней правой колонке (если объект доступен для редактирования)
4. В открывшемся модальном окне редактирования объекта измените требуемые поля

5. Нажмите на кнопку Сохранить в модальном окне для завершения редактирования и применения изменений
6. Редактируемый объект будет сохранен

примечание

Для редактирования доступны только объекты, созданные вручную. Сгенерированные объекты обновляются автоматически и недоступны для редактирования.

При создании и редактировании объектов для каждого базового и дополнительного поля доступны два типа:

• Текст
• Массив

Переключение между типами поля выполняется с помощью соответствующего переключателя, расположенного слева от названия поля. При выборе типа поля Текст поле будет выглядеть следующим образом (левое положение переключателя):

При выборе типа поля Массив поле будет выглядеть следующим образом (правое положение переключателя):

примечание

Переключение на тип поля Текст из типа поля Массив доступно только в том случае, если в массиве содержится не более одного элемента.

предупреждение

При создании или редактировании избегайте дубликатов. Дубликаты не будут добавлены в список объектов.

---

Автоматическое заполнение объектов

Автоматическое заполнение объектов позволяет не создавать объекты вручную. Заполнение происходит автоматически по настроенной конфигурации, которую можно выполнить единожды или выполнять по расписанию.

Источники данных

В поле Индекс можно указать любой индекс или индекс-паттерн, содержащий идентификатор объекта и поля, которые требуется перенести в объект UBA. Также можно использовать индекс-агрегатор, например модуль Inventory или сформированный другим способом индекс.

Для разных задач можно использовать разные источники:

• справочный или подготовленный индекс — для заполнения списка объектов
• индексы событий — для последующего построения поведенческих профилей

Например, список пользователей можно загрузить из employees-current, а входы пользователей профилировать по auth-events-*.

Обработка входных данных

При запуске конфигурация обрабатывает данные в следующем порядке:

1. Читает документы из индекса или индекс-паттерна, указанного в поле Индекс
2. Ограничивает выборку по полю времени и временному интервалу, если они заданы
3. Применяет выражение из поля Фильтр
4. Извлекает значение из поля Поле идентификатора объекта
5. Сопоставляет поля источника с базовыми и дополнительными полями типа объекта
6. Объединяет записи с одинаковым идентификатором и проверяет базовые поля на дубликаты
7. Применяет ограничение Максимальное количество объектов и записывает результат в список объектов UBA

Поля источника должны существовать в выбранном индексе и содержать значения совместимого типа. Для строковых полей, имеющих подполе keyword, при точном сопоставлении обычно указывают это подполе, например user.id.keyword.

Фильтрация

Временной фильтр и выражение в поле Фильтр применяются совместно. В пользовательском фильтре используются условия команды search, но без слова search:

user.id.keyword=="*" AND user.status.keyword=="active"

В примере остаются только активные пользователи с непустым идентификатором. Логические операторы AND, OR и NOT указываются в верхнем регистре. Если поле времени не задано, выборка не ограничивается по времени; такой вариант подходит для индекса, который хранит актуальный снимок объектов.

Имена полей зависят от источника

При чтении произвольного индекса указывайте реальные имена его полей, например user.id.keyword. Префиксы base.*, advanced.* и other.fields.* используются только в структуре данных, подготовленной Inventory.

Уникальность объектов и удаление дубликатов

Результирующая выборка должна содержать один объект на одно уникальное значение ключевого поля. Это требуется по следующим причинам:

• Поле идентификатора объекта используется как основной ключ дедупликации и должно стабильно идентифицировать одну сущность
• каждое базовое поле типа объекта должно быть уникальным в пределах этого типа; совпадение хотя бы одного базового поля у разных объектов считается дубликатом
• дополнительные поля могут повторяться и не участвуют в идентификации

Если входной индекс хранит множество событий одного пользователя, заранее сформируйте однозначный набор записей. Базовый вариант — оставить последнюю запись для каждого идентификатора с помощью команды dedup и вывести только нужные поля:

source auth-events-*
| search user.id.keyword=="*"
| dedup user.id.keyword sortby - @timestamp
| table user.id.keyword, user.name.keyword, user.department.keyword

Такой запрос удобно проверить в поиске, а его результат — сохранять по расписанию в отдельный подготовленный индекс. Если значения дополнительных полей в повторяющихся записях различаются, сортировка перед дедупликацией делает выбор записи предсказуемым.

Перед заполнением используйте Предпросмотр и проверьте, что:

• идентификатор заполнен у каждой строки
• одному идентификатору соответствует одна строка
• значения каждого базового поля не принадлежат разным объектам
• поля результата соответствуют маппингу конфигурации

Inventory как необязательный агрегатор

Inventory можно поместить между исходными индексами и UBA, если требуется объединить несколько источников, нормализовать идентификаторы, обогатить объекты или регулярно формировать актуальный снимок без дубликатов. Если исходный индекс уже соответствует этим требованиям, конфигурация заполнения UBA может читать его напрямую.

Список конфигураций

Страница конфигураций содержит список созданных конфигураций с возможностью фильтрации в поле Поиск.

Чтобы перейти на страницу списка конфигураций, выберите пункт Конфигурации заполнения объектов в навигационном меню в разделе User Behavior Analytics. Список конфигураций представляет собой таблицу, содержащую следующие данные:

• Название конфигурации
• Тип объекта конфигурации
• Индекс, с которым работает конфигурация
• Расписание запуска

Для каждой конфигурации доступен список действий (крайний правый столбец), который включает:

• Редактирование, которое позволяет перейти на страницу настройки конфигурации
• Настройка разрешений конфигурации
• Клонирование конфигурации
• Включение/выключение конфигурации
• Удаление конфигурации

Для выбранных (отмеченных чек-боксом) конфигураций доступен список действий (выпадающий список Редактировать выбранное и кнопка Удалить <n> конфигураций), который включает:

• Редактирование разрешений для всех выбранных конфигураций
• Включение всех выбранных конфигураций
• Выключение всех выбранных конфигураций
• Удаление всех выбранных конфигураций. Кнопка множественного удаления конфигураций отображается только при наличии выбранных конфигураций

Для создания новой конфигурации предназначена кнопка Создать, расположенная справа от поля Поиск. Переход на страницу редактирования осуществляется при клике по названию конфигурации или выборе соответствующего пункта в меню действий таблицы.

Настройка конфигурации

Страница настройки конфигурации предназначена для создания и редактирования параметров заполнения объектов. При переходе на нее откроется панель с формой параметров, которая содержит следующие разделы:

• Основные
• Расписание
• Фильтрация
• Настройки объекта
• Дополнительные настройки

Основные

Раздел основных настроек содержит следующие поля:

1. Название - название конфигурации
2. Описание - описание конфигурации. Предназначено для подробного описания конфигурации

Расписание

Раздел расписания предназначен для задания периодичности запуска конфигурации. Присутствует возможность использовать:

1. Интервал
2. Cron-выражение

Фильтрация

Раздел предназначен для фильтрации данных, обрабатываемых для создания списка объектов и содержит следующие поля:

1. Индекс, из которого будут собираться данные
2. Временной интервал, для фильтрации данных по времени
3. Поле, содержащее метку времени
4. Фильтр - выражение, по которому будет осуществляться фильтрация

Настройки объекта

В разделе представлены различные настройки результирующего объекта:

1. Тип объекта UBA - определяет принадлежность объекта к одному из типов
2. Поле идентификатора объекта - поле, по которому будет определяться уникальность объекта
3. Базовые и дополнительные поля - поля, которые будут записаны в результирующий объект

Дополнительные настройки

В разделе представлены следующие настройки конфигурации:

1. Максимальное количество объектов - ограничение на количество объектов, которые будут записаны
2. Длительность блокировки
3. Запуск конфигурации - включение/выключение выполнения конфигурации

Алгоритм автоматического заполнения объектов

После заполнения формы настроек конфигурации нажмите Сохранить, чтобы сохранить конфигурацию и выполнять ее по заданному расписанию.

Нажмите Предпросмотр, чтобы посмотреть предварительное заполнение объектов. Панель настроек будет скрыта, появится таблица объектов. На странице присутствуют:

1. Фильтрация по найденным объектам через поле Поиск
2. Информация о найденных объектах. Находится выше таблицы
3. Таблица объектов

При необходимости изменения настроек нажмите иконку стрелки справа от поля фильтрации Поиск. По завершении предпросмотра нажмите кнопку Заполнить, чтобы заполнить список объектов. При успешном заполнении вы получите уведомление и появятся кнопки Сохранить для сохранения конфигурации, Отменить для сброса настроек и выхода к списку конфигураций и кнопка Перейти к списку объектов.

предупреждение

При автоматическом заполнении возможно нахождение дубликатов. Дубликаты не будут включены в список объектов и вы получите уведомление.

Полный набор согласованных настроек для типа объекта, заполнения, политики профилирования, задания выявления аномалий и расчета скоринга приведен в сквозном примере настройки.