Алерты создаются при получении последовательности событий, запускающей правило корреляции. Подробнее об алертах вы можете посмотреть в этом разделе.
В разделе Алерты веб-интерфейса KUMA можно просматривать и обрабатывать алерты, зарегистрированные программой. Алерты можно фильтровать. По нажатию на название алерта открывается окно со сведениями о нем.
Формат даты алерта зависит от языка локализации, выбранного в настройках программы. Возможные варианты формата даты:
Жизненный цикл алертов
Ниже представлен жизненный цикл алерта:
Алерты в статусе Новый продолжают обновляться данными при срабатывании правил корреляции. Если статус алерта меняется на любой другой, алерт больше не обновляется новыми событиями и, если правило корреляции срабатывает снова, создается новый алерт.
Переполнение алертов
Каждый алерт и привязанные к нему события не могут превышать размер 16 МБ. Когда этот предел достигнут:
Алерты, у которых есть предупреждения о переполнении, следует обрабатывать как можно скорее, поскольку новые события не добавляются к переполненным алертам. Вы можете отфильтровать все события, которые могли быть связаны с алертом после переполнения, по ссылке Смотреть все возможные связанные события.
Разделение алертов
С помощью правил сегментации поток однотипных корреляционных событий можно разделять, создавая более одного алерта.