О версии 2.6
Технические особенности
Информация в данном разделе поможет предотвратить возможные ошибки при обновлении и эксплуатации продукта.
Особенности обновления
При обновлении системы до версии 2.6.0 необходимо выполнить ряд ручных действий. Подробности приведены в разделе Обновление системы.
Перевод правил корреляции в декларативный формат
В ближайших версиях продукта из функционала будут убраны императивные правила. Рекомендуется перевести все правила корреляции в декларативный формат. Подробности о данном формате приведены в разделе Декларативные правила.
Новые возможности
Обновление метрик лицензии
В разделе Настройки → Лицензия обновлен набор метрик. Теперь ограничение лицензии происходит по следующим метрикам:
-
EPS в точках входа — ограничение по среднему количеству событий в секунду (EPS) в точках входа коллекторов.
-
Входной EPS корреляторов — ограничение EPS на входах корреляторов.
Также обновлены графики в карточках коллекторов на вкладке Информация.
Отключение аудита для точек входа
При добавлении или изменении точек входа появилась возможность отключить аудит источников. При отключенном аудите к элементам конвейера не применяются политики аудита источников.
Если для источника включен аудит, но выключена выбранная политика аудита, то источник принимает статус Не определяется в разделе Инструменты → Аудит источников.
Методы расчета в политиках
В политиках аудита источников типа По маске добавлены способы вычисления потока событий для срабатывания политики:
-
По количеству событий — условие нарушения политики определяется количеством событий, поступивших за определенный период времени.
-
По среднему EPS — условие нарушения политики определяется отклонением от среднего количества событий в секунду (EPS), поступивших за определенный период времени.
Для более гибкой настройки работы политики добавлена возможность задавать не только нижний, но и верхний порог ее срабатывания.
Поиск по нескольким хранилищам
В разделе Поиск добавлена возможность искать события сразу по нескольким хранилищам.
Чтобы включить поиск по нескольким хранилищам, пересоздайте таблицы хранилищ. Подробности приведены в разделе Обновление системы.
Массовое обновление правил
Добавлена возможность массово обновлять правила агрегации, сегментации, корреляции и нормализации. Для этого в окне редактирования соответствующих элементов конвейера добавлена кнопка обновления всех добавленных правил.
Виджеты с картами
В разделе Дашборды для виджетов событий и активных списков добавлены типы диаграмм:
-
Карта с группировкой — позволяет отобразить данные в виде кластеров, объединяющих точки с близкими координатами. Кластеры разбиваются на отдельные точки при приближении.
-
Карта стран мира — позволяет отобразить данные, сгруппированные по странам.
Фильтрация по полям JSON в поиске
События в разделе Поиск теперь можно фильтровать по полям типа JSON и вложенным полям объекта, кроме массивов. При фильтрации по вложенному полю JSON можно использовать операторы: =, !=, LIKE.
В RQL-запросе теперь также можно использовать функции преобразования типов, чтобы привести вложенные поля к нужному типу.
Панель групп при поиске
В разделе Поиск добавлено отображение панели групп, если в поисковом запросе использовался оператор GROUP BY. Панель отображается слева от результатов поиска и содержит группы, в которые объединены результаты поиска.
Конечная точка R-Vision TIP
Добавлена конечная точка R-Vision TIP, предназначенная для передачи событий в систему R-Vision TIP с целью извлечения индикаторов компрометации из значений полей событий.
Переменные в конструкторе
В разделе Экспертиза в конструкторе правил корреляции добавлена вкладка Переменные, которая позволяет задавать VRL-выражения и сохранять результаты их вычислений в специальные переменные.
Данные переменные можно использовать в различных разделах конструктора.
Улучшения и доработки
Коллекторы и конвейеры
-
Импорт и экспорт c очисткой параметров: добавлена возможность экспортировать и импортировать коллекторы и конвейеры с пустыми значениями обязательных параметров.
-
Отдельный порт кластера: при настройке точек входа HTTP Server, Syslog, Vector, Socket, Logstash и Netflow появилась возможность указать отдельный порт для подключения к узлу кластера Kubernetes.
Модели событий
-
Поддержка универсальной модели 2.0: теперь можно обращаться к полям универсальной модели события 2.0:
-
при работе с языком VRL;
-
при создании политики аудита;
-
при отправке RQL-запроса в разделе Поиск;
-
-
Обновление модели в хранилищах: появилась возможность обновить модель в хранилище событий вручную, если модель была изменена на уровне СУБД или при переходе на более новую версию системы.
Пользовательский интерфейс и опыт
-
Быстрый старт: при развертывании системы автоматически создаются предустановленные сущности, демонстрирующие функциональные возможности продукта.
-
Сохранение персональных настроек: теперь в разделе Поиск для текущего пользователя сохраняются настройки таблицы результатов поиска, закрепленные поля в карточках и список избранных событий. Настройки сохраняются в рамках отдельного хранилища событий или активного списка.
-
Открытие элемента конвейера через ошибку: при нажатии на ошибку о незаполненных обязательных полях в элементе конвейера теперь открывается окно редактирования этого элемента. Незаполненные обязательные поля подсвечиваются.
-
Оптимизация полей в карточке события: поле
rawтеперь не отображается в общем списке полей события. Содержимое поля доступно только в блоке Исходное событие.
Исправление проблем
-
Исправлена проблема с низкой пропускной способностью NATS, из-за которой замедлялось получение данных с глобальной шины.
Была ли полезна эта страница?
