Реагирование
Вкладка Реагирование политики профилирования содержит реакции на профиль. Реакция - правило планировщика задач, собранное от алгоритма политики. Правило сравнивает новые события с результатами профилирования и при отклонении записывает сработку действием Сработка UBA.
Правило создается включенным и начинает работать с момента сохранения. Текст запроса правила формирует модуль UBA по настройкам реакции.
Создание реакции
Чтобы создать реакцию, выполните следующие действия:
- Перейдите в
Навигационное меню-User Behavior Analytics-Политикии откройте политику - Откройте вкладку
Реагирование - Нажмите кнопку
＋ Добавить реакциюи выберите алгоритм - Заполните поле
Название. По умолчанию название составляется из имени алгоритма и вида отклонения. Название подписывает правило и его сработки - Проверьте источники, поля идентификации и фильтр. Подробнее - в разделе Источники и поля
- Задайте условие отклонения
- Заполните классификацию сработки и карточку сработки
- При необходимости измените параметры запуска и включите создание инцидента
- Нажмите кнопку
Проверить, чтобы выполнить пробный запуск запроса и увидеть, исполним ли запрос, и предупреждения - Нажмите кнопку
Сохранитьв нижней панели
Кнопка Сохранить сохраняет все измененные реакции, каждую - отдельным правилом.
Источники и поля
Источники, фильтр и поля сопоставления копируются из алгоритма при создании реакции и далее хранятся отдельно. Рядом с полем отображается пометка как в алгоритме или изменено и кнопка возврата.
- Источник событий - индексы, по которым выполняется проверка. Обязательный параметр
- Поля идентификации - поля событий, по которым опознается объект. Если не заполнено, используются поля политики. Заполненный набор заменяет поля политики целиком
- Фильтр - отбор событий конструктором условий или запросом SML
Для источника, которого нет в алгоритме, поля сопоставления указываются вручную. Справочник подставляется автоматически.
Условие отклонения
Условие задается на шаге С чем сравниваем.
Словарь
- Условие срабатывания - обязательный параметр:
Новое сочетание- сочетания значений нет в результате профилирования, то есть поведение новоеИзвестное сочетание- сочетание значений есть в результате профилирования
- Поля для сравнения - поля, по которым сравнивается сочетание. Обязательный параметр
Статистика, Частота
- С чем сравниваем - база сравнения
- Сработать, когда величина - направление отклонения. Обязательный параметр
- σ от среднего - число стандартных отклонений от среднего, задающее границу нормы. Отображается при сравнении со
Среднее ± σ. Обязательный параметр
| С чем сравниваем | Сработать, когда величина |
|---|---|
Среднее ± σ | выше нормы, ниже нормы, вне нормы |
Перцентиль профиля: p5, p50, p95 | выше нормы, ниже нормы |
Абсолютный порог | выше, ниже |
Направление вне нормы доступно только для среднего с отклонением: у перцентиля и абсолютного порога нет второй границы.
При абсолютном пороге профиль не читается, поэтому правило работает и до первого запуска политики.
Хронология
Условие выбирается в поле Сработать, когда:
объект активен в сегменте, где обычно молчит- сегмента нет в профиле либо норма в нем ниже порогачисло событий в сегменте выше нормы этого сегмента- всплеск активности в сегменте. Для этого условия база сравнения и направление задаются так же, как у алгоритмов Статистика и Частота
Классификация сработки
- Критичность - низкая, средняя или высокая. Входит в балл объекта с весом из модели расчета скоринга
- Семейство правил - значение из справочника Семейства правил
- Время жизни - время, в течение которого сработка участвует в расчете балла. Задается одно на все сработки правила, по умолчанию 24 часа
Карточка сработки
- Текст нарушения - обязательное поле. Содержит постоянный текст и подстановки полей результата правила, в том числе нормы, с которой выполнялось сравнение
- Поля сработки - имя поля и поле результата правила либо поле источника
- Детализация - поиск исходных событий или ссылка
Поле источника добавляется в запрос автоматически. В режиме сравнения за окно оно содержит список значений группы.
Детализация по умолчанию - поиск исходных событий: источники и фильтр правила, объект и поля сравнения, отрезок времени сработки. Если детализация не задана, в карточке сработки отображается Детализация в правиле не задана.
Запуск
По умолчанию правило запускается раз в 15 минут и проверяет последние 15 минут. У алгоритмов Статистика и Частота окно по умолчанию равно интервалу алгоритма. Расписание, окно поиска и подавление настраиваются в блоке Запуск.
Окно правила должно быть равно интервалу алгоритма. Норма рассчитана на один интервал: более широкое окно завышает количество и сумму, и норма превышается всегда. При расхождении окна с интервалом и при запуске реже окна отображается предупреждение, сохранению оно не мешает.
Создание инцидента
Последний шаг реакции - переключатель Создавать инцидент при сработке. Шаг доступен при установленном модуле Smart Monitor Incident Manager.
- Название - по умолчанию
UBA: <имя реакции> — <объект>. Обязательное поле - Описание - по умолчанию имя реакции, объект, время и остальные поля сработки. Обязательное поле
- Критичность - по умолчанию соответствует критичности сработки. Может быть изменена
- Workflow - по умолчанию первый workflow справочника
- Тип инцидента - по умолчанию
UBA
В название и описание подставляются поля результата правила. Подстановка поля, отсутствующего в результате, останется в инциденте текстом. Инцидент создается на каждую сработку, повторы подавляются настройкой подавления правила. Остальные параметры инцидента настраиваются в планировщике задач.
Редактирование правила
Правило редактируется и на вкладке Реагирование, и в планировщике задач - это одно и то же правило.
Текст запроса можно изменить вручную кнопкой Изменить запрос или в планировщике задач:
- если изменены только значения (порог, множитель, перцентиль, значение фильтра), при следующем открытии конструктор отобразит новые значения
- если изменена форма запроса, реакция отображает запрос SML с пометкой
запрос изменен вне конструктораи далее редактируется только как SML
После изменения формы запроса вернуть конструктор нельзя. При изменении запроса кнопкой Изменить запрос предупреждение об этом отображается до сохранения.