Сработка UBA
Действие Сработка UBA планировщика задач записывает сработку UBA. Действие используют правила, созданные реакцией политики профилирования, и правила, созданные в планировщике задач вручную.
Чтобы добавить действие к заданию, перейдите в Навигационное меню - Планировщик задач - Список задач, откройте задание и на вкладке Активные действия нажмите Добавить - Сработка UBA.
Параметры действия
Обязательные параметры:
- Категория объектов - категория, к которой относится объект
- Объект UBA - подстановка поля объекта из результата запроса, например
{{_source.uba_object}} - Критичность - низкая, средняя или высокая
- Семейство правил - значение из справочника Семейства правил
- Текст нарушения - текст с подстановками полей результата запроса
- Время жизни - секунды, минуты, часы или дни. По умолчанию 1 день
Необязательные параметры:
- Поля из результатов поиска - поля, которые переносятся в сработку из результата запроса
- Детализация - поиск или ссылка
У правила, созданного реакцией, объект, категория и связь с профилем заданы конструктором и недоступны для редактирования.
Содержимое сработки
По каждой строке результата запроса действие записывает одну сработку. Сработка содержит:
- время сработки - момент записи
- объект - значение объекта из результата запроса. По нему сработка сопоставляется с объектом UBA
- категорию объектов, критичность и семейство правил - из параметров действия. Название семейства сохраняется в сработке, поэтому его переименование записанные сработки не меняет
- текст нарушения - с подставленными значениями из результата запроса
- поля из результатов поиска - если они заданы
- детализацию - если она задана
- время окончания жизни - время записи плюс
Время жизни. До этого момента сработка активна и участвует в расчете балла - задание планировщика, которое записало сработку, а у правил, созданных реакцией, - также политику профилирования и алгоритм
Идентификатор сработки передается следующим действиям задания.
Детализация
- Поиск - поисковый запрос с границами времени
- Ссылка - произвольный адрес, например адрес дашборда
Подстановки работают только в запросе и адресе. Границы поиска передаются без изменений.