使用警报策略 (EA) 创建自定义警报

Note: This is an Early Availability (EA) feature that is only available for limited release. For more information, contact your Cato Networks representative or send an email to ea@catonetworks.com.

概况

警报策略允许您创建基于阈值的自定义规则，以决定何时生成警报。这有助于识别潜在的攻击指标、调查异常活动，并在网络性能、安全性或用户体验受到影响之前作出反应。根据您的网络或安全要求，您定义对组织最重要的条件，并在满足条件时收到警报。

您可以围绕 SD-WAN、安全性、数字体验监控（DEM）和网络中其他领域的各种事件创建警报。对于每个规则，您定义警报适用的范围、生成它的触发条件以及评估条件的时间窗口。然后您决定如果事件发生时会发生什么。警报可以生成事件、发送通知或同时执行这两项操作。

由于 Cato 从您的网络中多个域收集数据，因此有大量的规则配置可能性。为了帮助您为组织配置规则，警报策略包括：

预定义规则：建议的可以启用或禁用的警报规则
模板：仅包括与特定监控场景相关的指标。选择与用例匹配的模板以配置警报条件和阈值，而无需搜索所有可用的数据源。例如，设备姿态模板仅显示设备 ID、用户 ID 和站点 ID 作为规则的范围。

用例 - 防止性能下降

Company ABC 的伦敦站点定期运行带宽密集的操作，网络团队注意到，该站点异常高的并发流量往往会导致对业务关键应用程序的性能下降。

为了在用户受到影响之前得到通知，网络管理员为伦敦站点创建了一个警报策略规则，使用站点连接性模板并基于站点的典型流量量设置阈值。规则配置为发送通知。

当伦敦站点的并发流量数量超过阈值时，将发送通知提醒网络团队，以便他们在应用程序性能受到影响之前进行调查或采取行动。这帮助 Company ABC 专注于与其环境相关的条件，同时减少不必要的事件和通知。

理解警报、事件和通知

Cato 管理应用程序 (CMA) 生成警报和事件并发送通知。虽然相关，但它们是不同的通知机制。

警报：在警报策略中定义的基于规则的条件。当满足标准时，警报会生成事件、发送通知或同时执行两者。
事件：在 CMA 中可见，事件记录网络中发生情况的详细信息，以用于调查和分析。有关详细信息，请参阅分析您网络中的事件
通知：通过 CMA 外发送的主动消息，以便您了解环境中发生的事情。有关更多信息，请参阅账户级别警报和系统通知

启用警报策略

创建警报策略规则以定义监控范围、触发条件、评估窗口和警报的跟踪动作。

了解警报策略规则中的部分

警报策略中的规则包含以下部分：

常规

配置有关规则的一般详细信息，例如规则名称、描述和警报的严重程度。

在常规部分中，您可以选择一个模板来帮助您配置规则。

范围

此部分定义规则适用的范围，以及评估哪些数据。如果选择了模板，您可以将规则应用于所有相关实体或限制在环境中的特定对象。仅评估定义范围内的数据规则。

范围定义为选择数据来源、范围并应用过滤器。

触发器

触发器定义生成警报必须满足的条件。触发器根据定义范围内的数据进行评估，当满足条件时生成警报。例如，您可以在以下情况下触发警报：

Socket CPU 使用率大于 90% 且体验得分较低
用户在 10 分钟内认证失败了 10 次
1000 位用户在 5 分钟内被断开连接

时间窗口

时间窗口定义评估的时间周期，以确定在生成警报之前是否已满足触发条件。它有助于确保警报基于有意义的时间段内的活动生成，而不是基于短暂或孤立的变化。

有两种窗口类型：

滑动：在固定长度的滚动时期内持续评估触发条件。随着新数据变成可用，窗口向前移动，并重新评估触发条件。例如，五分钟滑动窗口总是评估过去五分钟的活动。
周期性：在固定的连续时间段内评估数据。在每个完整周期后评估触发条件。例如，一个一小时的周期性窗口评估从10:00到11:00，再到11:00到12:00的活动。

两种窗口类型都有生成清除的选项。这决定了当触发条件不再满足时，是否生成第二个警报。这意味着监控的指标不再满足警报条件。例如，如果并发流量超过配置阈值时生成警报，那么当流量数量根据选定的时间窗口降至阈值以下时，生成清除警报。

跟踪

定义在满足警报条件时会发生什么。配置规则以生成事件、发送通知或同时执行这两项操作。

通知可以发送到订阅组、邮件列表或 webhook 集成。有关更多信息，请参阅账户级别警报和系统通知。

配置警报策略

要配置警报策略规则：

从导航菜单选择 账户>警报。
点击新建然后新建规则。
配置常规、范围、触发、时间窗口和跟踪部分以满足您的需求。
点击保存然后发布。
将警报切换设置为已启用。