Создание пользовательских оповещений с помощью Политики оповещений (EA)

Примечание: Это функция раннего доступа (EA), которая предоставляется только для ограниченного выпуска. Для получения дополнительной информации свяжитесь с представителем Cato Networks или отправьте письмо на ea@catonetworks.com.

Обзор

Политика оповещений позволяет создавать пользовательские правила на основе пороговых значений, которые определяют, когда генерируется оповещение. Это помогает идентифицировать потенциальные индикаторы атак, расследовать аномальную активность и предотвращать воздействие на производительность сети, безопасность или пользовательский опыт. На основе требований вашей сети или безопасности вы устанавливаете условия, наиболее важные для вашей организации, и получаете оповещение при их выполнении.

Вы можете создавать оповещения вокруг широкого круга событий в SD-WAN, безопасности, мониторинге опыта пользователей (DEM) и других областях вашей сети. Для каждого правила вы определяете область применения оповещения, триггер его генерации и временное окно, в котором оценивается условие. Вы затем выбираете, что происходит, если событие осуществляется. Оповещение может сгенерировать событие, уведомление или оба.

Так как Cato собирает данные из многих доменов вашей сети, существует большое количество возможных конфигураций для правила. Чтобы помочь вам настроить правила для вашей организации, Политика оповещений включает:

Предопределенные правила: Предложенные правила оповещения, которые можно включать или отключать
Шаблоны: Включают только метрики, относящиеся к конкретному сценарию мониторинга. Выберите шаблон, соответствующий вашему случаю использования, чтобы настроить условия и пороги оповещений без поиска по всем доступным источникам данных. Например, шаблон состояния устройства отображает только идентификатор устройства, пользователя и сайта как область для правила.

Пример использования - предотвращение снижения производительности

Лондонский сайт компании ABC регулярно выполняет операции с высокой загрузкой пропускной способности, и сеть замечала, что необычно большие объемы одновременных потоков с этого сайта часто предшествуют ухудшению производительности критически важных бизнес-приложений.

Чтобы быть осведомленным до того, как пользователи пострадают, сетевой администратор создает правило Политики оповещений для Лондонского сайта с шаблоном подключения сайта и устанавливает порог на основе типичного объема трафика на сайте. Правило настроено для отправки уведомления.

Когда количество одновременных потоков на Лондонском сайте превышает порог, отправляется уведомление, чтобы предупредить сетевую команду о необходимости провести проверку или предпринять действия прежде, чем производительность приложений будет затронута. Это помогает компании ABC сосредоточиться на условиях, актуальных для её среды, одновременно сокращая ненужные события и уведомления.

Понимание оповещений, событий и уведомлений

Приложение управления Cato (CMA) генерирует оповещения и события и отправляет уведомления. Хотя они связаны, это разные механизмы уведомления.

Оповещение: Условие, основанное на правилах, определенное в Политике оповещений. Когда критерии выполнены, оповещение генерирует событие, отправляет уведомление или оба.
Событие: Видимые в CMA, события записывают подробную информацию о происшествиях в вашей сети для их исследования и анализа. Для получения дополнительной информации см. Анализ событий в вашей сети
Уведомление: Проактивное сообщение, отправляемое за пределами CMA, чтобы проинформировать вас о том, что произошло в вашей среде. Для получения дополнительной информации см. Оповещения на уровне аккаунта и системные уведомления

Включение Политики оповещений

Создавайте правила Политики оповещений, чтобы определить мониторируемую область, триггерные условия, окно оценки и действия отслеживания для оповещений.

Понимание разделов в правиле Политики оповещений

Правила в Политике оповещений содержат следующие разделы:

Общие настройки

Настройте общие детали о правиле, такие как имя правила, описание и серьёзность оповещения.

В разделе Общие настройки вы можете выбрать шаблон, чтобы помочь вам настроить правило.

Область

Этот раздел определяет, где применяется правило и какие данные оцениваются. Если выбран шаблон, вы можете применить правило ко всем соответствующим сущностям или ограничить его определенными объектами в вашей среде. Только данные, находящиеся в определенной области, оцениваются правилом.

Область определяется выбором Источник данных, Область и применением фильтров.

Триггеры

Триггер определяет условие, которое должно быть выполнено для генерации оповещения. Триггер оценивается относительно данных в определенной области, и, когда условия выполнены, генерируется оповещение. Например, вы можете сгенерировать оповещение, когда:

Загрузка CPU Socket превышает 90%, и оценка качества работы низкая
Пользователю не удалось пройти аутентификацию 10 раз в течение 10 минут
1000 пользователей были отключены в течение 5 минут

Временное окно

Временное окно определяет период времени, оцениваемый для определения выполнения триггерных условий до генерации оповещения. Оно помогает обеспечить генерацию оповещения на основе активности в течение значительного периода времени, а не краткосрочных или разовых изменений.

Существует два типа окон:

Плавающее: Непрерывно оценивает триггерное условие в течение скользящего периода фиксированной длины. По мере появления новых данных окно перемещается вперед, и триггеры переоцениваются. Например, пятиминутное плавающее окно всегда оценивает активность за предыдущие пять минут.
Периодическое: Оценивает данные в фиксированных подряд идущих временных периодах. Триггер оценивается после каждого завершенного периода. Например, одни час периодического окна оценивает активность с 10:00–11:00, затем 11:00–12:00.

Оба типа окон имеют опцию Сгенерировать Оповещение Очистки. Это определяет, генерируется ли второе Оповещение, когда условия триггера больше не выполнены. Это указывает на то, что отслеживаемая метрика больше не удовлетворяет условию оповещения. Например, если оповещение сгенерировано при превышении количеством потоков установленного порога, оповещение очистки генерируется, когда количество потоков падает ниже этого порога в соответствии с выбранным временным окном.

Отслеживание

Это определяет, что происходит, когда выполняются условия оповещения. Настройте правило для генерации События, отправки Уведомления или выполнения обоих действий.

Уведомления могут быть отправлены в группу подписки, список рассылки или интеграцию webhook. Для получения дополнительной информации см. Оповещения на уровне аккаунта и системные уведомления.

Настройка Политики оповещений

Для настройки правил Политики оповещений:

Из навигационного меню выберите Учетная запись > Оповещения.
Нажмите Новый, затем Новое правило.
Настройте разделы Общие настройки, Область, Триггеры, Временное окно и Отслеживание, чтобы соответствовать вашим требованиям.
Нажмите Сохранить и затем Опубликовать.
Установите переключатель Оповещения в положение Включено.