Схемы дашбордов

id: уникальный идентификатор схемы дашборда. Значение — пять групп из шестнадцатеричных цифр в формате 8-4-4-4-12, разделенных дефисом. Буквы — только строчные латинские. Формат значения: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx.

name: название схемы дашборда. Допустимы латинские буквы, цифры, символы подчеркивания, точки и дефисы.

type: всегда указывается dashboard_schema для элементов экспертизы данного типа.

description (опционально): краткое описание назначения дашборда.

author (опционально): имя и контактные данные автора схемы дашборда.

version: версия схемы дашборда согласно стандарту Semantic Versioning.

scope: доступность дашборда. Указывает, является ли он персональным (user) или общим (tenant).

data_source (опционально): список источников данных, с которыми совместима схема дашборда. Используется для классификации и быстрого поиска элементов экспертизы в системе.

tags (опционально): список тегов, присвоенных схеме дашборда для классификации и быстрого поиска.

Схема дашборда с уникальным идентификатором 61f0c404-5cb3-11e7-907b-000000000000 предназначена для мониторинга системных метрик и событий.

Название схемы System Monitoring Dashboard описывает назначение дашборда.

Поле type указывает на тип элемента экспертизы (dashboard_schema).

Версия схемы дашборда задана как 0.0.1 в соответствии с правилами семантического версионирования.

Автором схемы является John Doe, чьи контактные данные указаны в поле author.

В поле data_source перечислены источники данных, совместимые с дашбордом — Windows и Sysmon.

Теги monitoring и system присвоены для облегчения поиска и классификации дашборда в системе.

key: уникальный идентификатор переменной.

type: тип источника данных (допустимые значения: EVENT_STORAGE для хранилища событий, METRIC для метрик, ALERT для оповещений).

Переменная с ключом VARIABLE_EVENT_STORAGE_ID_1 используется для обозначения хранилища событий в дашборде. Тип переменной установлен как EVENT_STORAGE, что указывает на использование хранилища событий в запросах данных.

id: уникальный идентификатор виджета.

x, y: координаты виджета на сетке (x-- позиция по горизонтали, y — позиция по вертикали).

w, h: размеры виджета в ячейках (ширина w и высота h).

maxH, minH, minW: ограничения по минимальной и максимальной высоте и ширине.

Виджет с идентификатором WIDGET_KEY_1 размещен в позиции x: 0, y: 1, что означает, что он будет располагаться в первой колонке и второй строке сетки дашборда.

Его ширина составляет 6 ячеек (w: 6), а высота — 3 ячейки (h: 3).

Для этого виджета также установлены ограничения: максимальная высота (maxH) — 5 ячеек, минимальная высота (minH) — 3 ячейки и минимальная ширина (minW) — 6 ячеек.

Виджет с идентификатором WIDGET_KEY_2 размещен в позиции x: 0, y: 4, что означает, что он будет находиться в первой колонке и на пятой строке сетки дашборда.

Его размеры такие же, как у первого виджета — ширина 6 ячеек и высота 3 ячейки. Ограничения по высоте и ширине в данном примере для второго виджета не заданы.

id: уникальный идентификатор виджета.

name: название виджета.

description: краткое описание функциональности виджета.

autoUpdate: настройки автоматического обновления данных (единица времени и интервал).

last: период отображаемых данных (например, последний месяц или день).

variables: параметры запроса данных для виджета.

Виджет с идентификатором WIDGET_KEY_1 назван "Host DB RAM" и предназначен для отображения текущего использования оперативной памяти базы данных.

Поле description описывает функциональность виджета как "Отображает текущее использование ОЗУ базы данных".

Виджет настроен на автоматическое обновление данных каждые 1 минуту, что задается параметрами в поле autoUpdate (unit: MINUTE и value: 1).

Поле last указывает, что виджет будет отображать данные за последний день (unit: DAY и value: 1).

В поле variables указано, что данные берутся из источника типа METRIC, с идентификатором метрики "c9c9e971-7d45-48eb-9ed5-000000000000".

source: определяет источник данных для виджета (допустимые значения: METRIC, SEARCH, ALERT).

metricId: идентификатор метрики, данные которой отображаются.

step: интервал времени, за который агрегируются данные.

Виджет с идентификатором WIDGET_KEY_1 называется "CPU Usage" и предназначен для отображения текущей загрузки процессора системы.

Поле description содержит описание "Отображает использование CPU системы".

Виджет обновляется каждые 5 минут, что задано в поле autoUpdate (unit: MINUTE, value: 5).

Поле last указывает, что данные за последний час будут агрегироваться и отображаться на виджете (unit: HOUR, value: 1).

Источник данных для виджета определен в поле variables. Здесь указывается, что данные берутся из метрики (source: METRIC), с идентификатором метрики metricId: "c9c9e971-7d45-48eb-9ed5-000000000000", а интервал агрегации данных установлен на одну минуту (step: ONE_MINUTE).

chartType: тип графика (LINE_CHART, BAR_CHART, PIE_CHART, TABLE, TOTAL).

rql: запрос на языке RQL для получения данных.

nameMapping: сопоставление полей запроса с осями графика (например, x — время, y — количество).

Виджет с идентификатором WIDGET_KEY_2 называется "Event Storage Counter" и предназначен для отображения количества событий в хранилище.

Поле description содержит описание "Отображает количество событий в хранилище".

Виджет автоматически обновляется каждые 30 минут, что задано в поле autoUpdate (unit: MINUTE, value: 30).

Поле last указывает, что виджет будет отображать данные за последний месяц (unit: MONTH, value: 1).

В поле variables виджет использует источник данных типа SEARCH и тип графика LINE_CHART, что означает, что данные будут отображаться в виде линейного графика.

Запрос на языке RQL (rql) возвращает количество событий (cnt), сгруппированных по часам (toStartOfHour(timestamp)).

Поле nameMapping используется для сопоставления полей запроса с осями графика: поле ts отображается на оси x, а количество событий cnt — на оси y.

chartType: всегда имеет значение TABLE.

rql: запрос на языке RQL для получения данных, которые будут отображены в таблице.

nameMapping: сопоставление полей с колонками таблицы (например, timestamp, count).

Виджет с идентификатором WIDGET_KEY_3 называется "Event Table" и отображает события с указанием временных меток.

Поле description содержит описание "Отображает события с временными метками".

Виджет автоматически обновляется каждые 30 минут (autoUpdate с параметрами unit: MINUTE и value: 30).

Поле last указывает, что виджет будет отображать данные за последний день (unit: DAY, value: 1).

В поле variables указано, что виджет использует тип отображения данных TABLE (chartType: TABLE), а данные запрашиваются из источника типа SEARCH.

Запрос на языке RQL (rql) получает временные метки (timestamp) и количество событий (cnt), сгруппированных по времени.

Поле nameMapping сопоставляет поля запроса с колонками таблицы: поле timestamp отображается в колонке с временными метками, а поле cnt — в колонке с количеством событий.

source: всегда указывается ALERT.

kind: тип отображаемых оповещений (active, new, last, distributionByField, distributionByTime, total).

filter: опциональные фильтры для отображаемых оповещений (например, по уровню угрозы).

Виджет с идентификатором WIDGET_KEY_4 называется "Active Alerts" и предназначен для отображения активных оповещений в системе.

Поле description содержит описание "Отображает активные оповещения в системе").

Виджет обновляется каждую минуту (autoUpdate с параметрами unit: MINUTE, value: 1).

Поле last указывает, что виджет будет отображать оповещения за последний час (unit: HOUR, value: 1).

Источник данных для виджета — это оповещения (source: ALERT).

Поле kind указывает, что отображаются только активные оповещения (kind: active), без дополнительной фильтрации (параметры в active: {} не указаны).

chartType: всегда имеет значение TOTAL.

rql: запрос языке RQL для получения сводных данных.

nameMapping: сопоставление результата с отображаемым полем.

Виджет с идентификатором WIDGET_KEY_5 назван "Total Event Count" и отображает общее количество событий.

Поле description содержит описание "Отображает общее количество событий".

Виджет автоматически обновляется каждые 30 минут (autoUpdate с параметрами unit: MINUTE и value: 30).

Поле last указывает, что виджет будет отображать данные за последний месяц (unit: MONTH, value: 1).

Источник данных — хранилище событий (source: SEARCH), тип виджета — сводный (chartType: TOTAL).

Запрос на языке RQL (rql) возвращает общее количество событий в хранилище (SELECT count(id) as cnt FROM event_storage).

Поле nameMapping сопоставляет поле cnt с отображаемым полем виджета, обозначенным как value.