Мониторинг

Описание раздела

Раздел Мониторинг предназначен для централизованного отслеживания и анализа всех событий безопасности, происходящих в контролируемой инфраструктуре. Система собирает события из различных доменов (серверы, базы данных, учетные записи, сетевые устройства) и предоставляет единый интерфейс для их анализа, классификации и реагирования на инциденты.

Основная цель модуля — обеспечить полную видимость всех событий безопасности в режиме реального времени, автоматически выявлять критические ситуации и предоставлять инструменты для быстрого реагирования на угрозы информационной безопасности.

Карточки доменов

В верхней части дашборда расположены информационные карточки, отображающие общее количество событий по каждому домену мониторинга:

Структура карточек

Цветовая кодировка карточек:

• Оранжевый — события серверов
• Зеленый — события баз данных
• Синий — события учетных записей
• Оранжево-коричневый — сетевой трафик
• Красный — события системы Lector

Количество событий за период

Столбчатый график отображает динамику поступления событий в систему с временной детализацией. График является единым визуальным элементом, объединяющим все типы событий для анализа их распределения во времени.

Параметры графика

Временная детализация:

• День — группировка по дням (текущий режим на скриншоте)
• Час — почасовая детализация для анализа коротких периодов
• Неделя — еженедельная агрегация для долгосрочного анализа
• Месяц — помесячная статистика

Функциональность:

• Переключение временной детализации через выпадающий список "День"
• Визуализация в виде синих столбцов
• Временная ось X показывает часы суток (0:00 - 22:00)
• Ось Y отображает количество событий (от 0 до 450+)

Интерпретация данных

На примере графика видно:

• Пиковая активность наблюдается в период с 0:00 до 4:00 (~450-400 событий)
• Минимальная активность в дневное и вечернее время
• Резкий спад после утренних часов указывает на выполнение автоматизированных задач в ночное время

Заявки по критичности

Круговая диаграмма показывает распределение событий по уровням критичности. Центральное число отображает общее количество событий.

Уровни критичности

Заявки по статусу

Круговая диаграмма отображает статус обработки поступивших событий и заявок.

Статусы обработки

Система фильтрации

Мощная система фильтрации позволяет быстро находить нужные события среди большого объема данных.

Основные фильтры

Фильтр по идентификатору и типу

• Номер события — поиск по уникальному идентификатору события
• Тип события — фильтрация по категории события (все типы / конкретный тип)

Фильтр по содержанию

• Название события — текстовый поиск по названию или описанию события

Фильтр по критичности и статусу

• Уровень критичности — выбор одного или нескольких уровней (все уровни / критический / высокий / средний / низкий)
• Статус обработки — фильтрация по текущему статусу (все статусы / новый / в работе / закрыт)

Фильтр по источнику

• Сервер БД — фильтрация по серверу базы данных
• Экземпляр БД — выбор конкретного экземпляра базы данных
• Порт — фильтрация по номеру порта подключения

Временной фильтр

• Период — выбор временного диапазона с точностью до минуты
  • Дата начала (ДД.ММ.ГГГГ)
  • Время начала (ЧЧ:ММ)
  • Дата окончания (ДД.ММ.ГГГГ)
  • Время окончания (ЧЧ:ММ)

Управление фильтрами

• Очистить — кнопка сброса всех примененных фильтров
• Применить — кнопка активации установленных критериев фильтрации

Таблица событий

Основная таблица содержит детальную информацию о каждом событии безопасности.

Структура таблицы

Особенности отображения

Цветовые индикаторы:

• КРИТИЧЕСКИЙ — красный фон
• ВЫСОКИЙ — оранжевый фон
• СРЕДНИЙ — желтый фон
• НИЗКИЙ — серый фон

Статусы:

• НОВЫЙ — зеленый бейдж
• В РАБОТЕ — синий бейдж
• ЗАКРЫТ — серый бейдж

Управление таблицей

Экспорт данных:

• CSV — экспорт в формате CSV для анализа в таблицах
• PDF — экспорт в PDF для отчетности и документооборота

Настройки отображения:

• Интервал обновления — автоматическое обновление данных (5 минут)
• Количество строк — выбор числа записей на странице

Пагинация:

• Навигация по страницам для просмотра большого объема событий

Работа с событиями

Контекстное меню

Для работы с конкретным событием используйте контекстное меню, вызываемое правой кнопкой мыши на строке события.

Доступные действия:

Функция "Просмотр" открывает детальное окно события с полной информацией, историей обработки и связанными логами. Это действие позволяет углубленно проанализировать инцидент и принять решение о дальнейших действиях.

Подробности события

Окно детального просмотра предоставляет полную информацию о событии и связанных с ним логах. Окно разделено на три основных блока: заголовок с идентификацией, блок с описанием и параметрами, а также таблица связанных логов.

Заголовок и идентификация

Формат заголовка: Домен «[Тип домена]». Событие №: [Номер события]

Блок описания события

Основная информация:

• Название — краткое наименование события
• Описание — детальное описание инцидента

Пример описания события:

Файловый агент (sys-flog) - сервис мониторинга файловой системы.
Сервис sys-flog потребляет 10.0% CPU, что превышает установленный порог 1.0%.
Необходимо проверить работу сервиса.

Блок параметров события

Справа расположена панель с ключевыми параметрами:

Кнопки управления

Действия с событием:

• Взять в работу (зеленая кнопка) — назначение события на текущего пользователя
• Закрыть заявку (красная кнопка) — завершение работы с событием

Экспорт:

• PDF — выгрузка детальной информации о событии в PDF-формат

Таблица связанных логов

Нижняя часть окна содержит таблицу со всеми логами, связанными с данным событием.

Структура таблицы логов:

Особенности отображения:

• Длинный текст логов автоматически обрезается с многоточием
• При клике на обрезанный текст открывается модальное окно с полным содержимым лога
• Каждая строка содержит одну запись лога
• Логи отсортированы по времени поступления

Просмотр полного текста лога:

При необходимости просмотра полного текста лога кликните на запись в таблице. Откроется модальное окно "Полный текст лога" с развернутым содержимым записи, которое можно скопировать или развернуть на весь экран с помощью иконки в правом верхнем углу.

Редактирование события

Функция редактирования позволяет изменять ключевые параметры события для корректировки его классификации и управления процессом обработки. Окно редактирования доступно через контекстное меню события (пункт "Редактировать").

Структура окна редактирования

Заголовок:

• Иконка типа домена (например, база данных)
• Формат: Домен «[Тип домена]» Событие №[Номер]
• Кнопка удаления события (красная иконка корзины)
• Кнопка закрытия окна

Блок информации о событии:

Верхняя часть окна содержит нередактируемую справочную информацию о событии:

Редактируемые параметры

Раздел "Редактирование заявки" содержит три выпадающих списка для изменения ключевых параметров:

1. Уровень критичности

Изменение степени важности события в зависимости от реальной оценки угрозы.

Доступные значения:

• Критический — события, требующие немедленного реагирования
• Высокий — серьезные инциденты приоритетной важности
• Средний — события средней степени опасности
• Низкий — информационные события низкого приоритета

Когда изменять:

• Первоначальная автоматическая классификация оказалась неточной
• После детального анализа выявлена реальная степень угрозы
• Событие требует повышения или понижения приоритета обработки

2. Статус обработки

Управление текущим состоянием работы с событием.

Доступные значения:

• Новый — событие ожидает назначения
• В работе — событие находится в процессе расследования
• Закрыт — обработка события завершена

Особенности:

• При изменении статуса на "В работе" автоматически фиксируется время начала обработки
• При установке статуса "Закрыт" фиксируется время закрытия и рассчитывается затраченное время

3. Кто взял в работу

Назначение или изменение ответственного сотрудника за обработку события.

Функциональность:

• Выбор пользователя из списка зарегистрированных аналитиков системы
• Возможность переназначения события другому специалисту
• Автоматическое изменение статуса на "В работе" при назначении ответственного

Управление изменениями

Кнопки действий:

• Отменить (слева, белая кнопка) — закрыть окно без сохранения изменений
• Сохранить (справа, синяя кнопка) — применить все внесенные изменения

Удаление события:

• Иконка корзины в правом верхнем углу окна
• Используется для удаления ложных или некорректных событий
• Требует подтверждения действия

Сценарии использования

Корректировка автоматической классификации:

Система пометила событие как "Критическое", но после анализа
выяснилось, что это плановое обслуживание.
→ Изменить уровень на "Низкий" + добавить комментарий.

Переназначение события:

Аналитик взял событие в работу, но не может завершить расследование
из-за отсутствия прав доступа к системе.
→ Изменить "Кто взял в работу" на специалиста с необходимыми правами.

Ручное закрытие:

Проблема устранена внешними средствами, событие больше не актуально.
→ Изменить статус на "Закрыт" + документировать решение.

Рабочий процесс обработки событий

Жизненный цикл события

1. Поступление (статус "Новый")

   • Событие регистрируется в системе с исходными параметрами
   • Автоматически определяется уровень критичности
   • Событие попадает в общую очередь необработанных

2. Взятие в работу

   • Аналитик назначает событие на себя через контекстное меню или детальный просмотр
   • Статус меняется на "Взят в работу"
   • Фиксируется время начала расследования и ответственный сотрудник

3. Расследование

   • Анализ описания события и связанных логов
   • Проверка информации о сервере и базе данных
   • Определение причин возникновения инцидента
   • Выполнение необходимых действий по устранению проблемы

4. Закрытие (статус "Закрыт")

   • После устранения проблемы событие закрывается
   • Фиксируется время закрытия
   • События с данным статусом исключаются из активной работы

Рекомендации по обработке

Приоритизация:

1. Критические события — обрабатываются в первую очередь
2. Высокие события — обрабатываются во вторую очередь
3. Средние и низкие — обрабатываются в плановом порядке

Эффективная работа:

• Используйте фильтры для выявления однотипных событий
• Группируйте связанные инциденты для комплексного расследования
• Документируйте результаты расследования в описании события
• Регулярно очищайте очередь обработанных событий

Автоматизация:

• Настройте правила автоматического закрытия для информационных событий
• Используйте корреляцию для объединения связанных событий
• Создайте шаблоны реагирования на типовые инциденты