О версии 2.8

Технические особенности

Информация в данном разделе поможет предотвратить возможные ошибки при обновлении и эксплуатации продукта.

Особенности обновления

При обновлении системы до версии 2.8.0 имеется ряд особенностей. Подробности приведены в разделе Обновление системы.

Перевод правил корреляции в декларативный формат

В ближайших версиях продукта из функционала будут убраны императивные правила. Рекомендуется перевести все правила корреляции в декларативный формат. Подробности о данном формате приведены в разделе Декларативные правила.

Известные проблемы

В версиях 2.8.0 и ниже возможно возникновение ошибки при поиске данных с группировкой, если группа содержит поля типа IPv4 или IPv6 с пустыми значениями. Данная проблема будет исправлена в ближайших версиях продукта.
Если изменить срок хранения в настройках томов хранилища событий, которое содержит большие объемы данных, окно изменения хранилища может перестать отвечать на запросы в течение некоторого времени, пока не истечет таймаут синхронного ожидания обработки. Таймаут может быть связан как с большим количеством данных, так и с проблемами в обработке очереди DDL-операций. Работа с очередью, а также с асинхронными и длительными операциями будет переработана в будущем.

Новые возможности

Grafana-дашборд с метриками корреляторов

В разделе Инструменты → Мониторинг добавлена вкладка Корреляторы, отображающая метрики по корреляторам и правилам корреляции.

Общие метрики по кластеру теперь отображаются на вкладке Общие сведения.

MonitoringCorrelators

Лимиты для правил корреляции

CorrelatorLimits

В целях обеспечения стабильной работы коллектора теперь можно задать лимиты потребления ресурсов для правил корреляции. Если правилом на конкретном корреляторе превышен любой из установленных лимитов, система автоматически отключит данное правило на этом корреляторе и отобразит сообщение в конфигурации конвейера.

Доступны следующие лимиты:

максимальное количество корреляционных окон;
ограничение количества корреляционных событий за указанный период;
потребление оперативной памяти;
потребление процессора.

Новые параметры в Socket

SocketFormatAndSeparator

Для точки входа и конечной точки типа Socket добавлены следующие параметры:

Формат событий — позволяет выбрать формат получения событий (для точек входа) или их отправки (для конечных точек).
Разделитель событий — позволяет указать способ, по которому события должны разделяться между собой.

Локальный буфер для UDP

UDPBuffers

Для точек входа с протоколом UDP (Netflow, Socket и Syslog) расширены настройки буфера. Теперь каждая из этих точек имеет два типа буфера:

Системный буфер — для первичного накопления получаемых событий до их обработки с помощью Vector.
Локальный буфер — для накопления событий после их считывания из системного буфера с помощью Vector и передачи их далее по конвейеру.

Раздельные считывание и отправка событий через два буфера позволяют протоколу UDP работать в два независимых потока. Это ускоряет обработку событий в точке входа и снижает риски потери данных при интенсивных потоках событий.

Шаблоны элемента конвейера

PipelineElementTemplates

В разделе Ресурсы → Коллекторы добавлена возможность обновлять и удалять шаблоны элементов конвейера. Для этого:

Добавлена кнопка удаления в выпадающем списке поля Шаблон в окне настроек элемента конвейера.
Добавлен флажок Обновить шаблон в окне настроек элемента конвейера. Поле отображается, если выбран шаблон элемента конвейера.

Немедленное подтверждение событий

ImmediateEventAcknowledgement

Для точек входа типа Audit, Global Bus, NATS JetStream и R-Vision Endpoint добавлен переключатель Подтверждение при получении, позволяющий настроить логику подтверждения сообщений в NATS:

Если переключатель в активном положении — подтверждение происходит сразу, как только сообщение поступает на точку входа.
Если переключатель в неактивном положении — подтверждение происходит только после полной обработки сообщения всем конвейером.

Добавлены новые предустановленные варианты для виджетов метрик. Также добавлена возможность гибкой настройки виджетов метрик с помощью запроса на языке PromQL.

MetricsWidget

Добавление исключений из оповещений

Теперь добавлять исключения на основе корреляционных событий можно из оповещений. Соответствующая опция расположена в меню действий в карточке корреляционного события, открытой на вкладке Расследование в полноэкранной карточке оповещения.

ExceptionFromAlert

Настройка ресурсов шлюза

GatewayResources

Добавлена возможность настраивать количество ядер процессора и объем ОЗУ для шлюза, а также выбирать узел кластера, на котором необходимо создать шлюз.

Расширение возможностей удаления агента

Теперь удаление агента через веб-интерфейс возможно в двух вариантах — полное удаление агента с хоста и удаление агента только из системы.

DeleteAgent

Обновление агента через интерфейс

UpdateAgent

Добавлена возможность обновить версию агента через веб-интерфейс системы.

Обновление осуществляется на основе инсталляционных файлов, которые добавляются в соответствующей секции параметров в разделе Настройки → Агенты.

Подробности приведены в разделе Обновление агента через веб-интерфейс.

Улучшения и доработки

Коллекторы и конвейеры

Подтверждение получения события в корреляторе и агрегаторе: теперь получение события подтверждается сразу, как только событие поступает в коррелятор или агрегатор.
Интервал ожидания запроса: для точки входа типа Database добавлено поле Интервал ожидания запроса, позволяющее указать интервал между запросами к БД в секундах, если в ответе от БД пришло количество строк меньше указанного в параметре Максимальное количество строк.
Точки входа и нормализаторы без аудита по умолчанию: теперь при создании точки входа или нормализатора параметр Аудит по умолчанию выключен.

Пользовательский интерфейс и опыт

Отображение IPv4 в IPv6-полях виджетов: в виджетах типа Таблица IPv4-адреса в IPv6-столбцах теперь отображаются без префикса ::ffff:.
Исключение метрик HDD для коллектора: в карточке коллектора убраны данные по метрикам HDD, поскольку они отображали значения не по коллектору, а по всему узлу и были неинформативными.
Корректировка типа аргумента в функциях поиска подстрок: исправлен тип первого аргумента с любого (any) на строку (string) в VRL-функциях rv_contains_any, rv_starts_with_any, rv_ends_with_any.
Закрытые оповещения: добавлена возможность отобразить или скрыть оповещения со статусом Закрыто с помощью переключателя Показать закрытые.
Переработка иконок для хранилищ и БД событий: в разделах Ресурсы → Базы данных событий и Ресурсы → Хранилища событий изменена иконка, предупреждающая о заканчивающемся месте в томе, а также добавлена иконка, сообщающая об ошибке при попытке оценить свободное место в томе.

Исправление проблем

Исправлена проблема, при которой точка входа Syslog могла получить не все события, поступившие в нее из внешней системы.
Исправлена проблема, при которой выключался коллектор, если точка входа SMB долго ожидала ответа от внешней системы.
Исправлена проблема, при которой некорректно рассчитывались метрики CPU для коллектора.
Исправлена проблема, при которой можно было создать правило корреляции с некорректным значением wait_for.
Исправлена проблема, при которой GraphQL-подписки могли преждевременно завершаться из-за истечения токена доступа (access token).
Исправлена проблема, при которой отправка некорректного запроса к БД ClickHouse приводила к повторным попыткам отправить этот запрос и впоследствии к остановке конвейера.

Была ли полезна эта страница?