Создание пользовательских оповещений с политикой оповещений (EA)

Note: This is an Early Availability (EA) feature that is only available for limited release. For more information, contact your Cato Networks representative or send an email to ea@catonetworks.com.

Обзор

Политика оповещений позволяет создавать пользовательские правила, основанные на пороге, которые определяют, когда генерируется оповещение. Это помогает вам идентифицировать потенциальные индикаторы атаки, исследовать аномальную активность и реагировать до того, как производительность сети, безопасность или пользовательский опыт окажутся под угрозой. Основываясь на ваших сетевых или требованиях безопасности, вы определяете условия, которые имеют наибольшее значение для вашей организации, и получаете оповещение, если они выполняются.

Вы можете создавать оповещения по широкому спектру случаев в области SD-WAN, безопасности, мониторинга пользовательского опыта (DEM) и других областей вашей сети. Для каждого правила вы определяете область применения оповещения, триггер, который его вызывает, и временной интервал, в течение которого оценивается условие. Затем вы выбираете, что происходит, если случай произошел. Оповещение может создать событие, уведомление или то и другое.

Поскольку Cato собирает данные из многих доменов вашей сети, существует множество возможных конфигураций для правила. Для помощи в настройке правил для вашей организации политика оповещений включает:

Предопределенные правила: Предложенные правила оповещений, которые вы можете включить или отключить.
Шаблоны: Включите только те метрики, которые относятся к конкретному сценарию мониторинга. Выберите шаблон, который соответствует вашему случаю использования, чтобы настроить условия оповещений и пороговые значения без необходимости поиска по всем доступным источникам данных. Например, шаблон состояния устройства отображает только идентификатор устройства, пользователя и площадки как область действия правила.

Пример использования — Предотвращение снижения производительности

Лондонская дочерняя компания компании ABC регулярно проводит операции, требующие большой пропускной способности, и сетевое подразделение заметило, что необычно высокий объем одновременных потоков с этого сайта часто предшествует ухудшению производительности для критически важных бизнес-приложений.

Чтобы быть информированным до того, как пользователи будут затронуты, сетевой администратор создает правило политики оповещений для лондонского сайта с шаблоном "Связь сайта" и устанавливает пороговое значение, основанное на типичном объеме трафика сайта. Правило настроено для отправки уведомления.

Когда количество одновременных потоков на лондонском сайте превышает порог, отправляется уведомление, предупреждающее сетевую команду, чтобы они могли исследовать или принять меры до того, как производительность приложений будет затронута. Это помогает компании ABC сосредоточиться на условиях, соответствующих ее среде, и сократить количество ненужных событий и уведомлений.

Понимание оповещений, событий и уведомлений

Приложение управления Cato (CMA) генерирует оповещения и события и отправляет уведомления. Хотя они связаны, это разные механизмы уведомлений.

Оповещение: Условие, определенное в политике оповещений, основанное на правилах. Когда критерии выполнены, оповещение создает событие, отправляет уведомление или оба действия.
Событие: Отображается в CMA, события фиксируют детализированную информацию о случае в вашей сети для расследования и анализа. Для получения дополнительной информации см. Анализ событий в вашей сети
Уведомление: Проактивное сообщение, отправленное за пределы CMA, для информирования вас о произошедшем событии в вашей среде. Для получения дополнительной информации см. Оповещения на уровне аккаунта и системные уведомления

Включение политики оповещений

Создайте правила политики оповещений, чтобы определить мониторируемую область, условия триггера, окно оценки и действия по отслеживанию для оповещений.

Понимание разделов в правиле политики оповещений

Правила в политике оповещений содержат следующие разделы:

Общие

Настройте общие детали правила, такие как имя правила, описание и степень серьезности оповещения.

В разделе "Общие" вы можете выбрать шаблон, чтобы помочь вам настроить правило.

Область

Этот раздел определяет, где применяется правило и какие данные оцениваются. Если шаблон выбран, вы можете применить правило ко всем соответствующим сущностям или ограничить его конкретными объектами в вашей среде. Только данные в определенной области оцениваются по правилу.

Область определяется выбором источника данных, области и применением фильтров.

Триггеры

Триггер определяет условие, которое должно быть выполнено для генерации оповещения. Триггер оценивается на основе данных в определенной области, и когда условия выполняются, генерируется оповещение. Например, вы можете вызвать оповещение, когда:

Загрузка CPU сокета превышает 90%, и оценка качества низкая
Пользователь не смог аутентифицироваться 10 раз в течение 10 минут
1000 пользователей были отключены за 5 минут

Временное окно

Временное окно определяет период времени, оцениваемый для определения выполнения условий триггера до генерации оповещения. Это помогает гарантировать, что оповещение сгенерировано на основе активности за значительный период времени, а не кратковременной или изолированной смены.

Существует два типа окна:

Скольжение: Непрерывно оценивает условие триггера в течение подвижного периода фиксированной длины. Когда поступают новые данные, окно продвигается вперед, и триггер переоценивается. Например, пяти минутное скользящее окно всегда оценивает активность за предыдущие пять минут.
Периодическое: Оценивает данные в фиксированные, последовательные периоды времени. Триггер оценивается после каждого завершенного периода. Например, периодическое окно в один час оценивает активность с 10:00 до 11:00, затем с 11:00 до 12:00.

Оба типа окна имеют возможность Генерация отчета. Это определяет, будет ли сгенерировано второе оповещение, когда условия триггера больше не выполняются. Это указывает на то, что контролируемая метрика больше не соответствует условию оповещения. Например, если оповещение генерируется, когда одновременные потоки превышают настроенный порог, то оповещение об очистке генерируется, когда количество потоков падает ниже этого порога в соответствии с выбранным временным окном.

Отслеживание

Это определяет, что происходит, когда оповещения выполняются. Настройте правило для генерации события, отправки уведомления или выполнения обоих действий.

Уведомления могут быть отправлены в группу подписок, список рассылки или интеграцию вебхука. Для получения дополнительной информации см. Оповещения на уровне аккаунта и системные уведомления.

Настройка политики оповещений

Чтобы настроить правила политики оповещений:

Из меню навигации выберите Учетная запись > Оповещения.
Щелкните Новый, затем Новое правило.
Настройте разделы Общие, Область, Триггеры, Временное окно и Отслеживание в соответствии с вашими требованиями.
Нажмите Сохранить, затем Опубликовать.
Установите переключатель Оповещения на "Включено".