Klasifikace
Klasifikátory slouží k identifikaci a kategorizaci příchozích dat do systému Logmanager. Každá zpráva odeslaná ze zařízení, serverů nebo služeb musí být v této sekci definována, aby bylo zajištěno její správné parsování a obohacení; v opačném případě projdou data systémem bez přidání dalších informací.
Sekce Klasifikace je rozdělena do dvou hlavních oblastí: Classifiers (definované uživatelem) a Vendor classification (systémové klasifikátory definované výrobcem).
Klasifikátory a Vendor classification
Obě tabulky poskytují následující informace:
- ENABLED: Přepínač pro aktivaci nebo deaktivaci konkrétního klasifikačního pravidla.
- NAME: Unikátní název klasifikátoru.
- DESCRIPTION: Stručný popis účelu klasifikátoru.
- TAG: Přidružené tagy (značky) použité pro další zpracování.
- ACTION: Tlačítka pro Edit (upravit), Delete (smazat) nebo View (zobrazit) konkrétní pravidlo.
Klasifikátory můžete přidávat, upravovat nebo mazat a spravovat tak způsob, jakým jsou vaše data zpracovávána.
Logmanager zpracovává zprávy skrze klasifikátory sekvenčně shora dolů. Zpráva prochází seznamem, dokud nenarazí na ukončovací blok v rámci Blockly logiky:
- Pass to parser: Toto je finální blok, který předá zprávu konkrétnímu parseru pro extrakci dat.
Pokud je klasifikátor zakázán (disabled) nebo nekončí blokem pass to parser, zpráva se automaticky přesune na další klasifikátor v pořadí. Aby bylo zajištěno zpracování všech dat, doporučuje se mít na konci seznamu finální „catch-all“ klasifikátor s obecnými podmínkami (např. identifikace formátu JSON).
Jedná se o vlastní pravidla vytvořená uživateli pro specifické potřeby prostředí.
- Pořadí: Pořadí zpracování můžete změnit přetažením (drag and drop) řádků pomocí ikony úchytu na levém okraji tabulky.
- Přidání: Klikněte na tlačítko Create new v pravém horním rohu tabulky Klasifikátory.
- Správa: Tato pravidla můžete libovolně upravovat (Edit) nebo mazat (Delete).
Jedná se o předdefinovaná pravidla poskytovaná systémem Logmanager pro identifikaci běžných zdrojů protokolů, jako jsou Beats, pluginy nebo názvy programů Syslogu.
- Vendor Toggle: Celý Vendor classification můžete povolit nebo zakázat pomocí hlavního přepínače vedle nadpisu sekce.
- Viditelnost: Tato pravidla jsou obvykle pouze pro čtení (View-only), aby byla chráněna standardní logika identifikace logů.
Vendor klasifikace je dostupná pouze pro čtení, ale můžete ji otevřít v režimu Zobrazení a prozkoumat její logiku v editoru Blockly/XML.
- Kliknutím na tlačítko Create new otevřete formulář Configuration.
- Vyplňte následující údaje:
- Enable classifier: Pomocí přepínače v horní části formuláře nastavte počáteční stav pravidla (aktivní/neaktivní).
- Name: Zadejte unikátní název klasifikačního pravidla.
- Description: Uveďte volitelný popis toho, co toto pravidlo identifikuje.
- Definujte logiku pomocí Blockly editoru nastavením podmínek a akce pass to parser.
Vendor klasifikace je pouze pro čtení, ale můžete ji otevřít v režimu Zobrazení, prozkoumat její logiku v editoru Blockly/XML a snadno ji zkopírovat pro další použití.
Zatímco záložka Blockly poskytuje vizuální způsob vytváření pravidel, můžete se přepnout také na záložku XML. Toto zobrazení ukazuje surovou kódovou reprezentaci pravidla a je užitečné pro:
- Pokročilé ladění: Kontrolu přesných parametrů jednotlivých logických bloků.
- Přenositelnost: Pomocí tlačítka XML copy můžete pravidlo rychle zálohovat nebo sdílet jeho logiku s jiným systémem Logmanager.
Formulář vytvoření klasifikátoru
Přidání klasifikace v XML
Pro ověření správnosti logiky můžete použít okno Test message. Testovací okno vyžaduje zprávu ve formátu JSON přesně tak, jak je uložena v systému Logmanager.
Jak získat testovací zprávu:
- Přejděte do Analysis ‣ Dashboards ‣ Log overview.
- V tabulce All Events ve spodní části klikněte na událost, kterou chcete otestovat.
- V detailu události klikněte na tlačítko View v levém horním rohu pro změnu formátu zobrazení.
- Zvolte JSON format a zkopírujte celý obsah zprávy.
- Vraťte se do editoru klasifikátoru a vložte kód do pole Test message.
Výsledky se zobrazí v sekci Test result, kde uvidíte, zda podmínky správně aktivují požadovaný parser.
Testovací okno zobrazuje pouze okamžitý výsledek pro právě upravovaný klasifikátor. Zpráva může být později dále upravena pomocí Parserů nebo Alert Rules.
Upozorňujeme také, že během testovacího procesu nejsou ze zpráv odstraňovány tagy. Kvůli tomuto chování může mít výsledná zpráva méně tagů.
Okno testování klasifikátoru
Pro úpravu klasifikace klikněte na tlačítko Edit v příslušném řádku.
Při úpravě můžete přepnout stav Enable classifier, změnit Name, Description i samotné logické schéma. K ověření funkčnosti můžete opět použít okno Test message:
- Vložte zprávu ve formátu JSON do pole Test message.
- Výsledek se zobrazí v sekci Test result, kde ověříte, zda podmínky správně spouští požadovaný parser.
Formulář úpravy klasifikátoru
Pro odstranění klasifikace klikněte na červené tlačítko Delete. Akci je nutné potvrdit v potvrzovacím dialogu, čímž dojde k trvalému odstranění pravidla.
Smazání klasifikátoru