分析您的网络中的事件

概概览

Cato事件提供详细的数据关于流量和活动在您的账户。 每个事件记录有关在环境中发生的事情的信息，如连接尝试、安全操作或配置相关活动，包括理解发生的事情及Cato如何处理它所需的上下文。

在Cato管理应用程序(CMA)的事件页面中调查流量、监控账户活动、验证政策行为，并解决操作问题。 您可以通过时间范围、事件类型、字段值、预设、自定义过滤器或自然语言搜索来缩小事件数据，以关注特定网络或安全问题相关的事件。

为了额外的分析、集中监控或保留期，您可以：

• 将事件发送到外部平台进行事件集成，请参见 事件集成入门指南

• 从事件页面导出事件数据，请参见下面 导出事件到文件

事件数据存储在Cato的数据湖中。 有关更多信息，请参阅Cato 数据湖指南。

注意事项:

• 在事件生成后，通常在 5 分钟时间范围内，事件的数据会显示在事件页面。 然而，某些事件可能会延迟最多 30 分钟。

• 对实体名称（如策略规则）的更改可能需要长达 24 小时才能反映在相关的事件字段中。

使用快速查看查看事件字段

快速查看是一种显示每个事件较少字段的选项，以改善页面性能。 它默认已启用，并显示分析中最常需要的字段。 选择快速查看导出选项时，它显著提升了事件页面的性能以及导出性能。

启用快速查看时，任何手动选择或在过滤器中提到的字段也会显示。

您随时可以禁用快速查看以加载所有字段，但这可能会影响性能。

查看事件页面

您可以在主页 > 事件页面查看整个账户的事件。

事件页面上的元素

下图和表格解释了带有事件选项卡的事件页面中的元素：

理解事件类型

在 事件 页面上的这些是事件类型：

• 连接 - 与 LAN 监控、站点和账户中的 VPN 客户端连接相关的事件

  • 连接事件与站点连接问题相关，例如与数据包丢失相关的链路质量

• 检测和响应 - 与XOps故事相关的事件

  • 检测和响应事件与响应策略生成的新和更新的XOps故事相关

• 姿态 - 与姿态检查相关的事件

  • 姿态事件与姿态分数变动和新检查相关

• 路由 - 路由和BGP事件

  • 路由事件与BGP会话和路由的状态有关

• 安全 - 由威胁防护和防火墙引擎生成的事件

  • 安全事件与潜在的安全问题相关，可以帮助您微调防火墙规则

• Socket 管理 - 与 Socket 相关的事件，例如固件更新

  • Socket 管理事件与 Socket 成功更新到最新版本相关

• 系统 - 与LDAP、用户意识、许可证和用户账户相关的事件

  • 系统事件与目录服务同步的状态相关

过滤和排序事件

您可以过滤事件以帮助您快速找到相关信息。

使用自然语言搜索过滤事件

您可以轻松使用日常语言搜索事件，以深入并识别页面上的相关数据。 有关更多详细信息，请参阅 使用自然语言搜索。

使用现有或自定义过滤器过滤事件

您可以使用 Cato 的预设过滤器或创建自定义过滤器以帮助您找到相关事件。 有关详细信息，请参阅 在页面上过滤数据

向事件过滤器添加事件值

事件页面的左侧部分显示事件中包含的字段和值（之前示例中的项目5）。 您可以轻松地将字段值添加到事件过滤器中，以深入分析并识别相关事件。

下表解释了事件字段中的按钮：

此外，您可以添加一个新列以显示特定字段的事件数据。 下表解释了事件字段中的按钮：

将事件值添加到筛选器：

1. 在事件页面中，点击字段以展开值。

   

2. 对于特定值，点击按钮以将值或排除添加到筛选器中。

   事件页面刷新并显示与新过滤器匹配的事件。 字段值显示匹配事件的数量。

导出事件至文件

您可以将事件页面中的事件数据导出到文件中以进行其他分析。 您可以一次性导出多达250,000个事件到文件。 当前过滤器和时间范围内的所有事件都包含在导出中。 您可以使用以下三个选项来控制导出中包括哪些事件字段：

• 所有字段: 导出中的每个事件都包括所有字段。 

• 已选字段: 仅包括您在导出中添加的字段。 

• 快速查看: 启用快速查看时，仅包括快速查看字段以及在过滤器中手动添加或明确提到的任何字段。 此选项旨在提高导出性能。

注意：

• 只有拥有编辑者角色的CMA管理员才有权限导出到CSV文件。 有关配置管理员角色的更多信息，请参阅 管理管理员。

• 有时，尝试导出事件会失败，因为查询耗时过长且请求超时。 您可以减少事件过滤器的时间范围或使用快速查看导出选项，然后再重试。

• 事件页面中的事件数量可以四舍五入。 For example, the Events page shows 2K events, and the actual number of events is 1952.

• 导出事件后，CSV文件中的events_count列可以显示每行多个事件，当同一事件在一分钟内发生多次时会出现这种情况。 此列的计数可能与导出的事件总数不同。 要显示导出事件的总数，请使用events_count列的总和。

要将事件导出到CSV文件：

1. (可选) 点击 添加 导出的字段。

2. 从事件页面，单击导出事件。

3. 选择导出的范围: 事件中的所有字段，过滤器中的已选字段，或快速查看中包含的字段。

   • 事件中的所有字段

   • 过滤器中的已选字段

   • 快速查看中包含的字段

4. 点击确定。 事件将导出到CSV文件，并根据您的互联网浏览器设置下载该文件。