Документация Ключ-АСТРОМ - Свежие правки [ru]

Извлечение метрики из событий пользователя

2026-10-27T16:06:55Z

← Предыдущая версия		Версия от 16:06, 27 октября 2026
Строка 12:		Строка 12:

	События навигации предоставляют информацию, необходимую для анализа количества просмотров по каждому маршруту. Каждый маршрут имеет уникальный идентификатор. При переходе к определенному маршруту путь '''URL''' обновляется, включая этот идентификатор маршрута — например, <code>/easytravel/journeys/24859438</code>. Это значение фиксируется в поле <code>view.url.path</code> события навигации.		События навигации предоставляют информацию, необходимую для анализа количества просмотров по каждому маршруту. Каждый маршрут имеет уникальный идентификатор. При переходе к определенному маршруту путь '''URL''' обновляется, включая этот идентификатор маршрута — например, <code>/easytravel/journeys/24859438</code>. Это значение фиксируется в поле <code>view.url.path</code> события навигации.

	Таким образом, вы можете проанализировать количество просмотров за одно путешествие, выполнив следующий '''DQL'''-запрос:

	~~<pre>~~
	~~fetch user.events~~
	~~\| filter matchesPhrase(frontend.name, "easytravel") AND~~
	~~characteristics.has_navigation == true AND~~
	~~matchesPhrase(view.url.path, "/easytravel/journeys/*") AND~~
	~~not matchesPhrase(view.url.path, "*book")~~
	~~\| parse view.url.path, "'/'LD'/'LD'/'LD:journey_id"~~
	~~\| summarize by: {journey_id}, count()~~
	~~\| sort `count()` desc~~
	~~</pre>~~

	Хотя этот запрос хорошо подходит для краткосрочного анализа, он не идеален для мониторинга долгосрочных тенденций. Для этой цели более подходящим подходом будет создание пользовательской метрики, полученной из запроса, с помощью '''OpenPipeline'''.		Хотя этот запрос хорошо подходит для краткосрочного анализа, он не идеален для мониторинга долгосрочных тенденций. Для этой цели более подходящим подходом будет создание пользовательской метрики, полученной из запроса, с помощью '''OpenPipeline'''.
Строка 45:		Строка 32:
	# Перейдите в '''Настройки''' > '''Обработка и контекстуализация''' > '''OpenPipeline''' > '''Пользовательские события''' > '''Конвейеры'''.		# Перейдите в '''Настройки''' > '''Обработка и контекстуализация''' > '''OpenPipeline''' > '''Пользовательские события''' > '''Конвейеры'''.
	# Чтобы создать новый конвейер, выберите '''Конвейер''' и введите имя (например, <code>easyTravel</code>).		# Чтобы создать новый конвейер, выберите '''Конвейер''' и введите имя (например, <code>easyTravel</code>).
	# Чтобы настроить вывод идентификатора маршрута в отдельное поле, перейдите в раздел '''Обработка''' ~~> '''DQL'''~~ и определите обработчик, введя:		# Чтобы настроить вывод идентификатора маршрута в отдельное поле, перейдите в раздел '''Обработка''' и определите обработчик, введя:
	#* Описательное название (например, <code>Add journey_id</code>).		#* Описательное название (например, <code>Add journey_id</code>).
	#* Условие соответствия. В нашем примере условием соответствия является:		#* Условие соответствия. В нашем примере условием соответствия является:
Строка 53:		Строка 40:
	not matchesPhrase(view.url.path, "*book")		not matchesPhrase(view.url.path, "*book")
	</pre>		</pre>
	#* Определение процессора. В нашем примере определение процессора выглядит следующим образом:		* Определение процессора. В нашем примере определение процессора выглядит следующим образом:
	<pre>		<pre>
	parse view.url.path, "'/'LD'/'LD'/'LD:journey_id"		parse view.url.path, "'/'LD'/'LD'/'LD:journey_id"

Уведомления о распространённых проблемах в Kubernetes/OpenShift

2026-10-27T16:05:56Z

Внесённые изменения

Фильтрация логов

2026-10-27T16:02:15Z

Произвольный фильтр

← Предыдущая версия		Версия от 16:02, 27 октября 2026
Строка 66:		Строка 66:
	* Чтобы скрыть или отобразить панель уведомлений, выберите соответствующую кнопку в сводке запроса.		* Чтобы скрыть или отобразить панель уведомлений, выберите соответствующую кнопку в сводке запроса.
	* Чтобы удалить фильтры, выберите соответствующую кнопку для нужных фильтров.		* Чтобы удалить фильтры, выберите соответствующую кнопку для нужных фильтров.
	* Чтобы применить фильтры к вашему запросу ~~'''DQL'''~~, на панели уведомлений выберите '''Добавить все в запрос''' или отдельные элементы.		* Чтобы применить фильтры к вашему запросу, на панели уведомлений выберите '''Добавить все в запрос''' или отдельные элементы.

	== Фильтрация по метке времени ==		== Фильтрация по метке времени ==
Строка 75:		Строка 75:
	# В таблице результатов запроса выберите нужное значение поля.		# В таблице результатов запроса выберите нужное значение поля.
	# Щёлкните правой кнопкой мыши и выберите '''Фильтры по времени'''.		# Щёлкните правой кнопкой мыши и выберите '''Фильтры по времени'''.
	# Выберите один из доступных операторов. Это добавит в запрос ~~'''DQL'''~~ фильтр для вашего выбора.		# Выберите один из доступных операторов. Это добавит в запрос фильтр для вашего выбора.

	Доступные операторы описаны ниже.		Доступные операторы описаны ниже.
Строка 110:		Строка 110:

	# Определите опорное время.		# Определите опорное время.
	# В меню поля опорного времени, отображаемого над полем ввода запроса, выберите один из доступных вариантов фильтрации. Это добавит в запрос ~~'''DQL'''~~ фильтр для вашего выбора.		# В меню поля опорного времени, отображаемого над полем ввода запроса, выберите один из доступных вариантов фильтрации. Это добавит в запрос фильтр для вашего выбора.

Версионирование моделей ИИ и A/B-тестирование

2026-10-27T16:01:37Z

← Предыдущая версия		Версия от 16:01, 27 октября 2026
Строка 77:		Строка 77:
	Это создаст копию готового дашборда, который можно свободно редактировать. Теперь мы можем добавить несколько переменных для фильтрации данных по версии модели и идентификатору набора данных. Чтобы добавить переменные на дашборд, откройте меню рядом со списком переменных и выберите '''Переменная'''.		Это создаст копию готового дашборда, который можно свободно редактировать. Теперь мы можем добавить несколько переменных для фильтрации данных по версии модели и идентификатору набора данных. Чтобы добавить переменные на дашборд, откройте меню рядом со списком переменных и выберите '''Переменная'''.

	Мы можем добавить первую переменную для версии модели. Назовём её <code>ModelVersion</code> ~~и используем <code>DQL</code> в качестве определения типа~~. Наконец, давайте используем следующее ~~DQL-~~выражение для заполнения возможных значений переменной:		Мы можем добавить первую переменную для версии модели. Назовём её <code>ModelVersion</code>. Наконец, давайте используем следующее выражение для заполнения возможных значений переменной:
	{\| class="wikitable"		{\| class="wikitable"
	\|fetch spans		\|fetch spans
Строка 87:		Строка 87:
	<nowiki>\|</nowiki> expand versions		<nowiki>\|</nowiki> expand versions
	\|}		\|}
	Запрос извлекает все сегменты, имеющие значения для атрибутов <code>gen_ai.system</code> и <code>model.version</code>. Атрибут <code>model.version</code>— это тот, который мы добавили вручную на предыдущем шаге. Атрибут <code>gen_ai.system</code> устанавливается для всех сегментов, связанных с ИИ. Затем мы собираем все уникальные значения для атрибута <code>model.version</code>. Наконец, мы указываем ~~DQL~~ рассматривать каждое значение <code>model.version</code> как отдельное значение для заполнения выпадающего меню переменной с помощью команды <code>expand</code>. Выберите '''Выполнить''', чтобы убедиться, что получены правильные значения.		Запрос извлекает все сегменты, имеющие значения для атрибутов <code>gen_ai.system</code> и <code>model.version</code>. Атрибут <code>model.version</code>— это тот, который мы добавили вручную на предыдущем шаге. Атрибут <code>gen_ai.system</code> устанавливается для всех сегментов, связанных с ИИ. Затем мы собираем все уникальные значения для атрибута <code>model.version</code>. Наконец, мы указываем рассматривать каждое значение <code>model.version</code> как отдельное значение для заполнения выпадающего меню переменной с помощью команды <code>expand</code>. Выберите '''Выполнить''', чтобы убедиться, что получены правильные значения.

	Теперь мы можем использовать <code>$ModelVersion</code> в качестве переменной ~~в DQL~~, и она будет заполнена значением, выбранным из выпадающего меню. Мы можем изменить существующие блоки, чтобы убедиться, что новая переменная используется для правильной фильтрации данных, добавив новое операторное выражение фильтра:		Теперь мы можем использовать <code>$ModelVersion</code> в качестве переменной, и она будет заполнена значением, выбранным из выпадающего меню. Мы можем изменить существующие блоки, чтобы убедиться, что новая переменная используется для правильной фильтрации данных, добавив новое операторное выражение фильтра:
	{\| class="wikitable"		{\| class="wikitable"
	\|<nowiki>\| filter model.version == $ModelVersion</nowiki>		\|<nowiki>\| filter model.version == $ModelVersion</nowiki>
	\|}		\|}
	Вот и всё! Теперь вы можете добавить больше переменных для фильтрации данных, используя дополнительные пользовательские метаданные.		Вот и всё! Теперь вы можете добавить больше переменных для фильтрации данных, используя дополнительные пользовательские метаданные.

Ускорьте решение инцидентов с помощью шаблонов

2026-10-27T15:58:04Z

← Предыдущая версия		Версия от 15:58, 27 октября 2026
Строка 3:		Строка 3:
	'''Руководство'''		'''Руководство'''

	Чтобы быстрее начинать новые расследования и избавить себя от повторяющейся ручной работы, вы можете использовать шаблоны в '''Расследованиях'''. Шаблоны предоставляют основу для расследований, создавая начальные запросы ~~'''DQL'''~~, готовые к выполнению, и необходимые артефакты о вашей среде, доступные в виде списков доказательств. Это экономит время при создании запросов вручную или копировании запросов из сценариев реагирования на инциденты.		Чтобы быстрее начинать новые расследования и избавить себя от повторяющейся ручной работы, вы можете использовать шаблоны в '''Расследованиях'''. Шаблоны предоставляют основу для расследований, создавая начальные запросы, готовые к выполнению, и необходимые артефакты о вашей среде, доступные в виде списков доказательств. Это экономит время при создании запросов вручную или копировании запросов из сценариев реагирования на инциденты.

	Далее вы узнаете, как ускорить работу с логами в '''Расследованиях''' с помощью шаблонов.		Далее вы узнаете, как ускорить работу с логами в '''Расследованиях''' с помощью шаблонов.
Строка 20:		Строка 20:
	* Что было залогировано контейнером?		* Что было залогировано контейнером?

	Запросы, которые вы создаёте для ответа на такие вопросы, часто разбросаны по предыдущим расследованиям, репозиториям запросов ~~'''DQL'''~~ и сценариям реагирования на инциденты.		Запросы, которые вы создаёте для ответа на такие вопросы, часто разбросаны по предыдущим расследованиям, репозиториям запросов и сценариям реагирования на инциденты.

	Чтобы оптимизировать процесс, вы хотите создать шаблон, который подготовит эти запросы заранее для будущих инцидентов. К счастью, у вас уже есть расследование, включающее эти запросы, что позволяет создать шаблон из существующего расследования.		Чтобы оптимизировать процесс, вы хотите создать шаблон, который подготовит эти запросы заранее для будущих инцидентов. К счастью, у вас уже есть расследование, включающее эти запросы, что позволяет создать шаблон из существующего расследования.

Приём записей NetFlow

2026-10-27T15:55:16Z

← Предыдущая версия		Версия от 15:55, 27 октября 2026
Строка 140:		Строка 140:

	=== Анализ логов ===		=== Анализ логов ===
	Данные '''NetFlow''' принимаются как записи логов, которые можно запрашивать и визуализировать ~~с помощью '''DQL'''~~. Вы можете использовать раздел '''Логи''', чтобы искать логи контейнеров, захваченные '''ЕдиныйАгент''' для Collector.		Данные '''NetFlow''' принимаются как записи логов, которые можно запрашивать и визуализировать. Вы можете использовать раздел '''Логи''', чтобы искать логи контейнеров, захваченные '''ЕдиныйАгент''' для Collector.

	Аналогично, раздел '''Логи''' может помочь вам увидеть, что трафик действительно проходит.		Аналогично, раздел '''Логи''' может помочь вам увидеть, что трафик действительно проходит.
Строка 151:		Строка 151:
	=== Notebooks ===		=== Notebooks ===
	'''Notebooks''' позволяет выполнять запросы и визуализировать данные '''NetFlow''' в интерактивном режиме. Вы можете открыть новый ноутбук из раздела '''Логи''', перейдя в '''Открыть с помощью''' и выбрав '''Notebooks'''.		'''Notebooks''' позволяет выполнять запросы и визуализировать данные '''NetFlow''' в интерактивном режиме. Вы можете открыть новый ноутбук из раздела '''Логи''', перейдя в '''Открыть с помощью''' и выбрав '''Notebooks'''.

	~~=== Пример запроса DQL ===~~
	~~Используя этот запрос '''DQL''', вы можете получить сводку байтов по '''IP'''-адресу и порту назначения:<pre>~~
	~~fetch logs~~
	~~\| filter matchesValue(flow.type, "netflow_v9")~~
	~~\| summarize {totalBytes= sum(toLong(flow.io.bytes)),totalPackets=sum(toLong(flow.io.packets))}, by: {destination.address,destination.port}~~
	~~\| sort totalBytes desc~~
	~~\| limit 10~~
	~~</pre>~~

Предупреждение об общих проблемах Kubernetes / OpenShift

2026-10-27T15:53:11Z

Внесённые изменения

Захват свойств событий и сессий для мобильных интерфейсов

2026-10-27T15:46:01Z

Агрегировать свойства сессии на основе свойств события

Настройка оповещений на основе событий, извлечённых из логов

2026-10-27T15:44:22Z

1. Найдите логи, которые должны запускать оповещения

← Предыдущая версия		Версия от 15:44, 27 октября 2026
Строка 12:		Строка 12:

	=== 1. Найдите логи, которые должны запускать оповещения ===		=== 1. Найдите логи, которые должны запускать оповещения ===
	Вы можете найти оповещения, открыв '''Логи''' и используя следующий запрос ~~'''DQL'''~~.<pre>fetch logs		Вы можете найти оповещения, открыв '''Логи''' и используя следующий запрос.<pre>fetch logs
	\| filter matchesPhrase(content, "Dropping data because sending_queue is full")		\| filter matchesPhrase(content, "Dropping data because sending_queue is full")
	\| sort timestamp desc</pre>'''Результаты логов'''		\| sort timestamp desc</pre>'''Результаты логов'''

	* Если ваш запрос ~~'''DQL'''~~ использует <code>parse</code>, <code>fieldsAdd</code> или другие преобразования, вам следует добавить правило обработки, чтобы установить эти поля при загрузке.		* Если ваш запрос использует <code>parse</code>, <code>fieldsAdd</code> или другие преобразования, вам следует добавить правило обработки, чтобы установить эти поля при загрузке.
	* Чтобы найти, какой пайплайн обрабатывает ваши логи, выберите запись лога в '''Логах''' и проверьте поле <code>dt.openpipeline.pipelines</code>. Используйте это значение при выборе пайплайна в настройках '''OpenPipeline'''.		* Чтобы найти, какой пайплайн обрабатывает ваши логи, выберите запись лога в '''Логах''' и проверьте поле <code>dt.openpipeline.pipelines</code>. Используйте это значение при выборе пайплайна в настройках '''OpenPipeline'''.

Строка 25:		Строка 25:
	* Найдите пайплайн, который хотите изменить, или добавьте новый пайплайн.		* Найдите пайплайн, который хотите изменить, или добавьте новый пайплайн.
	* Выберите '''> Редактировать'''. Откроется страница конфигурации пайплайна.		* Выберите '''> Редактировать'''. Откроется страница конфигурации пайплайна.
	* Выберите этап '''ИИ''' и добавьте процессор события '''ИИ'''. Задайте '''сопоставление ~~DQL~~'''. Сопоставление устанавливает условие для события, которое должно быть извлечено. Это подмножество условий фильтрации в одном операторе ~~'''DQL'''~~. В поле '''Условие сопоставления''' используйте сопоставление, как показано ниже.		* Выберите этап '''ИИ''' и добавьте процессор события '''ИИ'''. Задайте '''сопоставление'''. Сопоставление устанавливает условие для события, которое должно быть извлечено. Это подмножество условий фильтрации в одном операторе. В поле '''Условие сопоставления''' используйте сопоставление, как показано ниже.
	<pre>matchesPhrase(content, "Dropping data because sending_queue is full")</pre>Если вы используете сегменты или ваши разрешения установлены на уровне записей, вам следует включить эти условия в сопоставление. Бывают ситуации, когда сопоставление не может быть легко извлечено из оператора ~~'''DQL'''~~. В таких случаях можно '''создать оповещения по логам для события лога или сводки данных логов'''.		<pre>matchesPhrase(content, "Dropping data because sending_queue is full")</pre>Если вы используете сегменты или ваши разрешения установлены на уровне записей, вам следует включить эти условия в сопоставление. Бывают ситуации, когда сопоставление не может быть легко извлечено из оператора. В таких случаях можно '''создать оповещения по логам для события лога или сводки данных логов'''.

	* Задайте свойства события. Свойства события — это метаданные, которые будет содержать ваше событие при запуске. Вы можете переопределить любое поле из записи лога. В нашем примере мы переопределим поле <code>dt.source_entity</code>, чтобы оповещения были связаны с сущностями для '''анализа первопричин ИИ'''. В '''Шаблоне события''' задайте следующие пары «ключ-значение»:		* Задайте свойства события. Свойства события — это метаданные, которые будет содержать ваше событие при запуске. Вы можете переопределить любое поле из записи лога. В нашем примере мы переопределим поле <code>dt.source_entity</code>, чтобы оповещения были связаны с сущностями для '''анализа первопричин ИИ'''. В '''Шаблоне события''' задайте следующие пары «ключ-значение»:

Оповещения Kubernetes

2026-10-27T15:41:40Z

Внесённые изменения

Настройка пользовательских оповещений на основе метрик, извлечённых из логов

2026-10-27T15:35:20Z

1. Найдите логи, которые должны запускать оповещения

Оптимизация производительности и затрат дашбордов, выполняющих запросы логов

2026-10-27T15:30:45Z

Преобразование запросов в метрики на основе логов

Обработка OpenPipeline

2026-10-27T15:28:27Z

Лучшие практики

← Предыдущая версия		Версия от 15:28, 27 октября 2026
Строка 23:		Строка 23:
	* Подготавливайте, преобразуйте и храните данные.		* Подготавливайте, преобразуйте и храните данные.
	* Предоставляйте доступ к определенным записям.		* Предоставляйте доступ к определенным записям.

	~~=== Лучшие практики ===~~
	Обработка логов '''OpenPipeline''' поддерживает только '''DQL'''. Если вы уже используете конвейер обработки логов, убедитесь, что ваши сопоставления преобразованы в '''DQL''' .

	== Этап ==		== Этап ==
Строка 43:		Строка 40:
	\|Подготовка данных к анализу и хранению осуществляется путём разбора значений по полям, преобразования схемы и фильтрации записей данных. Поля редактируются, а конфиденциальные данные маскируются.		\|Подготовка данных к анализу и хранению осуществляется путём разбора значений по полям, преобразования схемы и фильтрации записей данных. Поля редактируются, а конфиденциальные данные маскируются.
	\|		\|
	*DQL
	*Добавить поля		*Добавить поля
	*Удалить поля		*Удалить поля
Строка 108:		Строка 104:
	Хотя формат процесса предопределен, он содержит настраиваемое определение сопоставления и обработки.		Хотя формат процесса предопределен, он содержит настраиваемое определение сопоставления и обработки.

	* Матчер определяет целевой процесс с помощью '''DQL'''-запроса. Он сужает доступные данные до конкретного набора, который требуется обработать.
	* Определение обработки указывает Ключ-АСТРОМ, как преобразовывать или изменять данные, отфильтрованные сопоставителем.		* Определение обработки указывает Ключ-АСТРОМ, как преобразовывать или изменять данные, отфильтрованные сопоставителем.

Строка 124:		Строка 119:
	\|Событие ИИ		\|Событие ИИ
	\|Извлекает поля в новую запись и отправляет ее в таблицу событий.		\|Извлекает поля в новую запись и отправляет ее в таблицу событий.
	\|-
	~~\|DQL~~
	\|Обрабатывает подмножество DQL. Вывод форматируется в виде строки, числа, логического значения, длительности, временной метки и соответствующих массивов этих значений.
	\|-		\|-
	\|Распределение затрат DPS — Центр затрат		\|Распределение затрат DPS — Центр затрат
Строка 154:		Строка 146:
	\|Установить dt.security_context		\|Установить dt.security_context
	\|Устанавливает правильный доступ на уровне записи <code>dt.security_context</code>, копируя ее из поля, устанавливая ее как статическую строку или статический массив, допускающий несколько значений.		\|Устанавливает правильный доступ на уровне записи <code>dt.security_context</code>, копируя ее из поля, устанавливая ее как статическую строку или статический массив, допускающий несколько значений.
	\|-
	~~\|Технологический пакет~~
	\|Сопоставляет записи для выбранной технологии и обрабатывает их в соответствии с предопределенными контекстно-зависимыми операторами обработки DQL.
	\|}		\|}

Прием пакетов NetFlow

2026-10-27T15:23:35Z

Примеры DQL-запросов

← Предыдущая версия		Версия от 15:23, 27 октября 2026
Строка 86:		Строка 86:
	== Визуализация данных ==		== Визуализация данных ==
	Записи логов будут доступны в Ключ-АСТРОМ с полями, задокументированными в [https://github.com/open-telemetry/opentelemetry-collector-contrib/tree/v0.136.0/receiver/netflowreceiver#data-format документации приемника].		Записи логов будут доступны в Ключ-АСТРОМ с полями, задокументированными в [https://github.com/open-telemetry/opentelemetry-collector-contrib/tree/v0.136.0/receiver/netflowreceiver#data-format документации приемника].

	~~=== Примеры DQL-запросов ===~~

	* Извлеките все логи '''NetFlow''' и просуммируйте байты и пакеты по адресам источника и назначения:

	~~{\| class="wikitable"~~
	~~\|fetch logs~~

	~~<nowiki>\|</nowiki> filter otel.scope.name == "otelcol/netflowreceiver"~~

	~~<nowiki>\|</nowiki> summarize {bytes=sum(toDouble(flow.io.bytes)), packets=sum(toDouble(flow.io.packets))}, by: {source = source.address, destination = destination.address}~~

	~~<nowiki>\|</nowiki> fieldsAdd bytes_relative=bytes~~

	~~<nowiki>\|</nowiki> fieldsAdd packets_relative=packets~~

	~~<nowiki>\|</nowiki> sort bytes desc~~
	\|}
	~~[[Файл:Image4074.png\|граница]]~~

	* Выберите часто используемые порты:

	~~{\| class="wikitable"~~
	~~\|fetch logs~~

	~~<nowiki>\|</nowiki> filter otel.scope.name == "otelcol/netflowreceiver"~~

	~~<nowiki>\|</nowiki> summarize {bytes=sum(toDouble(flow.io.bytes))}, by: {port = destination.port}~~

	~~<nowiki>\|</nowiki> sort bytes desc~~

	~~<nowiki>\|</nowiki> limit 10~~
	\|}
	~~[[Файл:Image4075.png\|граница]]~~

Наблюдаемость угроз

2026-10-27T15:22:21Z

Наблюдаемость угроз

← Предыдущая версия		Версия от 15:22, 27 октября 2026
Строка 4:		Строка 4:

	'''Наблюдаемость угроз''' в '''Ключ-АСТРОМ''' предлагает платформу, которая унифицирует и обогащает данные безопасности контекстом времени выполнения. Это помогает разрушить информационные барьеры между различными инструментами и средами и способствует эффективному снижению рисков.		'''Наблюдаемость угроз''' в '''Ключ-АСТРОМ''' предлагает платформу, которая унифицирует и обогащает данные безопасности контекстом времени выполнения. Это помогает разрушить информационные барьеры между различными инструментами и средами и способствует эффективному снижению рисков.

	Используя '''DQL''', вы можете единообразно потреблять результаты безопасности, созданные '''Ключ-АСТРОМ''' и сторонними системами, что позволяет реализовать множество сценариев использования, способствующих:

	* Приоритизации результатов с учётом контекста времени выполнения
	* Визуализации и отчётности по данным безопасности
	* Автоматизации создания тикетов и уведомлений
	* Расследованию безопасности и охоте за угрозами
	* Обнаружению и устранению угроз

	Благодаря широкому спектру интеграций безопасности и приёму через '''OpenPipeline''', платформа наблюдаемости и безопасности '''Ключ-АСТРОМ''' взаимодействует с вашей экосистемой продуктов, обеспечивая более значимую ценность от генерируемых данных.		Благодаря широкому спектру интеграций безопасности и приёму через '''OpenPipeline''', платформа наблюдаемости и безопасности '''Ключ-АСТРОМ''' взаимодействует с вашей экосистемой продуктов, обеспечивая более значимую ценность от генерируемых данных.

Разрешения Kubernetes

2026-10-27T15:21:35Z

Разрешения пользователя

← Предыдущая версия		Версия от 15:21, 27 октября 2026
Строка 38:		Строка 38:
	\|<pre>state:user-app-states:delete</pre>		\|<pre>state:user-app-states:delete</pre>
	\|Удаление состояния пользовательского приложения		\|Удаление состояния пользовательского приложения
	\|-
	~~\|<pre>storage:buckets:read</pre>~~
	~~\|Чтение состояния здоровья через '''DQL'''~~
	\|-
	~~\|<pre>storage:entities:read</pre>~~
	~~\|Чтение отслеживаемых сущностей через '''DQL'''~~
	\|-		\|-
	\|<pre>storage:events:read</pre>		\|<pre>storage:events:read</pre>
Строка 59:		Строка 53:
	\|<pre>storage:logs:read</pre>		\|<pre>storage:logs:read</pre>
	\|Запрос логов		\|Запрос логов
	\|-
	~~\|<pre>storage:metrics:read</pre>~~
	~~\|Чтение данных метрик через '''DQL'''~~
	\|-		\|-
	\|<pre>storage:fieldsets:read</pre>		\|<pre>storage:fieldsets:read</pre>

Добавление данных на дашборд

2026-10-27T15:20:52Z

Добавление данных на дашборд

← Предыдущая версия		Версия от 15:20, 27 октября 2026
Строка 3:		Строка 3:
	Эта страница описывает, как добавлять данные с помощью запроса к хранилищу, а также как указать пользовательский временной диапазон и сегмент.		Эта страница описывает, как добавлять данные с помощью запроса к хранилищу, а также как указать пользовательский временной диапазон и сегмент.

	Самый быстрый и простой способ исследовать данные — с помощью наших новых плиток и разделов '''Explore'''. За несколько секунд вы можете найти и проанализировать свои логи ~~или метрики '''DQL''' не требуется!~~		Самый быстрый и простой способ исследовать данные — с помощью наших новых плиток и разделов '''Explore'''. За несколько секунд вы можете найти и проанализировать свои логи.

	'''<u>Устарело: поля dt.entity.*</u>'''		'''<u>Устарело: поля dt.entity.*</u>'''
Строка 18:		Строка 18:
	'''Чтобы выполнить запрос к хранилищу'''		'''Чтобы выполнить запрос к хранилищу'''

	1. В правом верхнем углу дашборда откройте меню '''Добавить~~''' и выберите '''DQL~~'''.		1. В правом верхнем углу дашборда откройте меню '''Добавить'''.
	* Сочетание клавиш: '''Shift+D'''		* Сочетание клавиш: '''Shift+D'''
	2. Справа открывается боковая панель конфигурации с двумя вкладками:		2. Справа открывается боковая панель конфигурации с двумя вкладками:
	* '''Данные'''		* '''Данные'''
	* '''Визуализация'''		* '''Визуализация'''
	3. На вкладке '''Данные''' используйте '''Ключ-АСТРОМ Query Language ~~(DQL)~~''' для определения вашего запроса.		3. На вкладке '''Данные''' используйте '''Ключ-АСТРОМ Query Language''' для определения вашего запроса.

	4. Выберите '''Запустить''', чтобы выполнить запрос.		4. Выберите '''Запустить''', чтобы выполнить запрос.
Строка 44:		Строка 44:

	Этот временной диапазон переопределяет временной диапазон дашборда, установленный в правом верхнем углу дашборда. Используя этот метод, дашборд может иметь несколько плиток, где каждая плитка имеет свой собственный временной диапазон.		Этот временной диапазон переопределяет временной диапазон дашборда, установленный в правом верхнем углу дашборда. Используя этот метод, дашборд может иметь несколько плиток, где каждая плитка имеет свой собственный временной диапазон.

	Вы также можете указать пользовательский временной диапазон в запросе '''DQL''' плитки данных. Если вы используете этот метод (с временным диапазоном, указанным в запросе), вышеуказанная настройка интерфейса отключается и используется временной диапазон, указанный в запросе.

	~~Пример указания временного диапазона в '''DQL''':<pre>~~
	~~fetch [recordtype], from:now() - 2h~~
	~~\| ....~~
	~~</pre>Подробности об указании временного диапазона в '''DQL''' см. в документации по '''DQL'''.~~

	== Выбор сегментов ==		== Выбор сегментов ==

← Предыдущая версия		Версия от 15:23, 27 октября 2026
Строка 86:		Строка 86:
	== Визуализация данных ==		== Визуализация данных ==
	Записи логов будут доступны в Ключ-АСТРОМ с полями, задокументированными в [https://github.com/open-telemetry/opentelemetry-collector-contrib/tree/v0.136.0/receiver/netflowreceiver#data-format документации приемника].		Записи логов будут доступны в Ключ-АСТРОМ с полями, задокументированными в [https://github.com/open-telemetry/opentelemetry-collector-contrib/tree/v0.136.0/receiver/netflowreceiver#data-format документации приемника].

	~~=== Примеры DQL-запросов ===~~

	* Извлеките все логи '''NetFlow''' и просуммируйте байты и пакеты по адресам источника и назначения:

	~~{\| class="wikitable"~~
	~~\|fetch logs~~

	~~<nowiki>\|</nowiki> filter otel.scope.name == "otelcol/netflowreceiver"~~

	~~<nowiki>\|</nowiki> summarize {bytes=sum(toDouble(flow.io.bytes)), packets=sum(toDouble(flow.io.packets))}, by: {source = source.address, destination = destination.address}~~

	~~<nowiki>\|</nowiki> fieldsAdd bytes_relative=bytes~~

	~~<nowiki>\|</nowiki> fieldsAdd packets_relative=packets~~

	~~<nowiki>\|</nowiki> sort bytes desc~~
	\|}
	~~[[Файл:Image4074.png\|граница]]~~

	* Выберите часто используемые порты:

	~~{\| class="wikitable"~~
	~~\|fetch logs~~

	~~<nowiki>\|</nowiki> filter otel.scope.name == "otelcol/netflowreceiver"~~

	~~<nowiki>\|</nowiki> summarize {bytes=sum(toDouble(flow.io.bytes))}, by: {port = destination.port}~~

	~~<nowiki>\|</nowiki> sort bytes desc~~

	~~<nowiki>\|</nowiki> limit 10~~
	\|}
	~~[[Файл:Image4075.png\|граница]]~~

← Предыдущая версия		Версия от 15:46, 27 октября 2026
Строка 40:		Строка 40:
	# Перейдите в '''Настройки''' > '''Обработка и контекстуализация''' > '''OpenPipeline''' > '''Пользовательские события''' > '''Конвейеры'''.		# Перейдите в '''Настройки''' > '''Обработка и контекстуализация''' > '''OpenPipeline''' > '''Пользовательские события''' > '''Конвейеры'''.
	# Выберите существующий конвейер или создайте новый. Чтобы создать новый конвейер, выберите '''Конвейер''' и введите имя.		# Выберите существующий конвейер или создайте новый. Чтобы создать новый конвейер, выберите '''Конвейер''' и введите имя.
	# Перейдите в раздел '''Обработка''' > '''Добавить''' (или, если обработчики уже определены) ~~> '''DQL''' и определите обработчик~~:		# Перейдите в раздел '''Обработка''' > '''Добавить''' (или, если обработчики уже определены):
	#* Описательное название — например, <code>Derive session property from cart value</code>		#* Описательное название — например, <code>Derive session property from cart value</code>
	#* Условие соответствия — фильтр для событий, обладающих свойством события, например:		#* Условие соответствия — фильтр для событий, обладающих свойством события, например:
	<pre>isNotNull(event_properties.cart.total_value)</pre>		<pre>isNotNull(event_properties.cart.total_value)</pre>
	#* Определение ~~DQL-~~процессора — два оператора <code>fieldsAdd</code>: первый записывает значение свойства события в пространство имен свойств сессии, а второй объявляет метод агрегации, например:		* Определение процессора — два оператора <code>fieldsAdd</code>: первый записывает значение свойства события в пространство имен свойств сессии, а второй объявляет метод агрегации, например:
	<pre>		<pre>
	fieldsAdd session_properties.cart.total_value = event_properties.cart.total_value,		fieldsAdd session_properties.cart.total_value = event_properties.cart.total_value,
Строка 60:		Строка 60:
	# Перейдите в '''Настройки''' > '''Обработка и контекстуализация''' > '''OpenPipeline''' > '''Пользовательские события''' > '''Конвейеры'''.		# Перейдите в '''Настройки''' > '''Обработка и контекстуализация''' > '''OpenPipeline''' > '''Пользовательские события''' > '''Конвейеры'''.
	# Выберите существующий конвейер или создайте новый. Чтобы создать новый конвейер, выберите '''Конвейер''' и введите имя.		# Выберите существующий конвейер или создайте новый. Чтобы создать новый конвейер, выберите '''Конвейер''' и введите имя.
	# Перейдите в раздел '''Обработка''' > '''Добавить''' (или, если обработчики уже определены) ~~> '''DQL''' и определите обработчик~~:		# Перейдите в раздел '''Обработка''' > '''Добавить''' (или, если обработчики уже определены):
	#* Описательное название — например, <code>Set user identifier from username</code>		#* Описательное название — например, <code>Set user identifier from username</code>
	#* Условие соответствия — фильтр для событий, обладающих свойством события, например:		#* Условие соответствия — фильтр для событий, обладающих свойством события, например:
	<pre>isNotNull(event_properties.username)</pre>		<pre>isNotNull(event_properties.username)</pre>
	#* Определение процессора ~~DQL~~:		* Определение процессора:
	<pre>fieldsAdd user.identifier = event_properties.username</pre>		<pre>fieldsAdd user.identifier = event_properties.username</pre>

← Предыдущая версия		Версия от 15:35, 27 октября 2026
Строка 18:		Строка 18:

	=== 1. Найдите логи, которые должны запускать оповещения ===		=== 1. Найдите логи, которые должны запускать оповещения ===
	Вы можете найти оповещения, открыв '''Логи''' и используя следующий запрос ~~'''DQL'''~~.<pre>fetch logs		Вы можете найти оповещения, открыв '''Логи''' и используя следующий запрос.<pre>fetch logs
	\| filter matchesPhrase(content, "Dropping data because sending_queue is full")		\| filter matchesPhrase(content, "Dropping data because sending_queue is full")
	\| sort timestamp desc</pre>		\| sort timestamp desc</pre>

	* Если ваш запрос ~~'''DQL'''~~ использует <code>parse</code>, <code>fieldsAdd</code> или другие преобразования, вам следует добавить правило обработки, чтобы установить эти поля при загрузке.		* Если ваш запрос использует <code>parse</code>, <code>fieldsAdd</code> или другие преобразования, вам следует добавить правило обработки, чтобы установить эти поля при загрузке.
	* Чтобы найти, какой пайплайн обрабатывает ваши логи, выберите запись лога в '''Логах''' и проверьте поле <code>dt.openpipeline.pipelines</code>. Используйте это значение при выборе пайплайна в настройках '''OpenPipeline'''.		* Чтобы найти, какой пайплайн обрабатывает ваши логи, выберите запись лога в '''Логах''' и проверьте поле <code>dt.openpipeline.pipelines</code>. Используйте это значение при выборе пайплайна в настройках '''OpenPipeline'''.

Строка 31:		Строка 31:
	* Найдите пайплайн, который хотите изменить, или добавьте новый пайплайн.		* Найдите пайплайн, который хотите изменить, или добавьте новый пайплайн.
	* Выберите '''> Редактировать'''. Откроется страница конфигурации пайплайна.		* Выберите '''> Редактировать'''. Откроется страница конфигурации пайплайна.
	* Выберите этап '''Извлечение метрик'''. Задайте '''Имя метрики''' и '''ID'''. Задайте '''сопоставление ~~DQL~~'''. Сопоставление устанавливает условие для события, которое должно быть извлечено. Это подмножество условий фильтрации в одном операторе ~~'''DQL'''~~. В поле '''Условие сопоставления''' используйте сопоставление, как показано ниже.		* Выберите этап '''Извлечение метрик'''. Задайте '''Имя метрики''' и '''ID'''. Задайте '''сопоставление'''. Сопоставление устанавливает условие для события, которое должно быть извлечено. Это подмножество условий фильтрации в одном операторе. В поле '''Условие сопоставления''' используйте сопоставление, как показано ниже.
	<pre>matchesPhrase(content, "Dropping data because sending_queue is full")</pre>Если вы используете сегменты или ваши разрешения установлены на уровне записей, вам следует включить эти условия в сопоставление. Бывают ситуации, когда сопоставление не может быть легко извлечено из оператора ~~'''DQL'''~~. В таких случаях можно '''создать оповещения по логам для события лога или сводки данных логов'''.		<pre>matchesPhrase(content, "Dropping data because sending_queue is full")</pre>Если вы используете сегменты или ваши разрешения установлены на уровне записей, вам следует включить эти условия в сопоставление. Бывают ситуации, когда сопоставление не может быть легко извлечено из оператора. В таких случаях можно '''создать оповещения по логам для события лога или сводки данных логов'''.

	* Добавьте измерения. Для большинства логов можно добавить автоматическую корреляцию с сущностями в анализе первопричин '''ИИ'''. Для этого добавьте измерение <code>dt.source_entity</code> или любое другое поле, содержащее идентификатор сущности.		* Добавьте измерения. Для большинства логов можно добавить автоматическую корреляцию с сущностями в анализе первопричин '''ИИ'''. Для этого добавьте измерение <code>dt.source_entity</code> или любое другое поле, содержащее идентификатор сущности.
Строка 54:		Строка 54:
	* Выберите '''Новое оповещение > Создать собственное оповещение'''.		* Выберите '''Новое оповещение > Создать собственное оповещение'''.
	* В поле '''Имя''' введите описательное имя для оповещения.		* В поле '''Имя''' введите описательное имя для оповещения.
	* В разделе '''Query''' введите ~~'''DQL'''-~~запрос, который извлекает вашу метрику лога. Например:		* В разделе '''Query''' введите запрос, который извлекает вашу метрику лога. Например:
	<pre>timeseries avg(log.dropping_data_count), by:{dt.entity.service}</pre>		<pre>timeseries avg(log.dropping_data_count), by:{dt.entity.service}</pre>

← Предыдущая версия		Версия от 15:30, 27 октября 2026
Строка 42:		Строка 42:
	* '''Измерения''': <code>k8s.workload.name</code>		* '''Измерения''': <code>k8s.workload.name</code>

	Затем вам нужно скорректировать инструкцию ~~'''DQL'''~~ на плитке дашборда.<pre>timeseries count = count(log.obslab.errors)</pre>После того как вы настроили две плитки, при отрисовке этих двух плиток затраты на запросы генерироваться не будут. Метрики на основе логов лицензируются так же, как и любые другие '''пользовательские метрики'''.		Затем вам нужно скорректировать инструкцию на плитке дашборда.<pre>timeseries count = count(log.obslab.errors)</pre>После того как вы настроили две плитки, при отрисовке этих двух плиток затраты на запросы генерироваться не будут. Метрики на основе логов лицензируются так же, как и любые другие '''пользовательские метрики'''.

	Не всегда возможно извлечь метрики из любого запроса ~~'''DQL'''~~. Помните о кардинальности измерений и таких командах, как <code>dedup</code> или <code>join</code>. Если вы не можете извлечь метрики, вам нужно оптимизировать запрос ~~'''DQL'''~~ и конфигурацию дашборда.		Не всегда возможно извлечь метрики из любого запроса. Помните о кардинальности измерений и таких командах, как <code>dedup</code> или <code>join</code>. Если вы не можете извлечь метрики, вам нужно оптимизировать запрос и конфигурацию дашборда.

	=== Оптимизация запросов ~~DQL~~, которые нельзя преобразовать в метрики ===		=== Оптимизация запросов, которые нельзя преобразовать в метрики ===
	В нашем примере дашборда представлено поле содержимого записей логов. Это поле с высокой кардинальностью, поэтому оно не подходит для измерения метрики. Первое, что вы можете сделать, — это задать временной диапазон, сегмент или бакет, если это возможно. Это сразу повысит производительность и снизит затраты. Для этого просто отредактируйте плитку дашборда.		В нашем примере дашборда представлено поле содержимого записей логов. Это поле с высокой кардинальностью, поэтому оно не подходит для измерения метрики. Первое, что вы можете сделать, — это задать временной диапазон, сегмент или бакет, если это возможно. Это сразу повысит производительность и снизит затраты. Для этого просто отредактируйте плитку дашборда.

	* '''Задать временной диапазон''': выберите переключатель '''Пользовательский временной диапазон''' и выберите временной диапазон из раскрывающегося меню.		* '''Задать временной диапазон''': выберите переключатель '''Пользовательский временной диапазон''' и выберите временной диапазон из раскрывающегося меню.
	* '''Задать сегмент''': выберите переключатель '''Пользовательские сегменты''' и выберите сегмент из раскрывающегося меню.		* '''Задать сегмент''': выберите переключатель '''Пользовательские сегменты''' и выберите сегмент из раскрывающегося меню.
	* '''Задать бакет''': добавьте следующую строку в запрос ~~'''DQL'''~~.		* '''Задать бакет''': добавьте следующую строку в запрос.
	<pre>\| filter dt.system.bucket == "default_logs"</pre>		<pre>\| filter dt.system.bucket == "default_logs"</pre>

Строка 86:		Строка 86:

	* Если возможно, используйте метрики на основе логов, как описано в разделе '''Настройка пользовательских оповещений на основе метрик, извлечённых из логов'''. Метрики работают быстрее, имеют более длительное и дешёвое хранение, запросы к метрикам не тарифицируются, вы можете удалить записи логов, contributing к метрике, и сэкономить на затратах на хранение, а также использовать метрики для оповещения. Для извлечения метрик используйте '''разбор строк логов и извлечение метрик''' с помощью '''OpenPipeline'''.		* Если возможно, используйте метрики на основе логов, как описано в разделе '''Настройка пользовательских оповещений на основе метрик, извлечённых из логов'''. Метрики работают быстрее, имеют более длительное и дешёвое хранение, запросы к метрикам не тарифицируются, вы можете удалить записи логов, contributing к метрике, и сэкономить на затратах на хранение, а также использовать метрики для оповещения. Для извлечения метрик используйте '''разбор строк логов и извлечение метрик''' с помощью '''OpenPipeline'''.
	* Если ваш вариант использования требует, чтобы содержимое логов (или другие данные с высокой кардинальностью) отображалось на дашбордах, оптимизируйте ваши запросы ~~'''DQL'''~~, задав временной диапазон, сегменты, бакеты, лимиты запросов и отключив автообновление.		* Если ваш вариант использования требует, чтобы содержимое логов (или другие данные с высокой кардинальностью) отображалось на дашбордах, оптимизируйте ваши запросы, задав временной диапазон, сегменты, бакеты, лимиты запросов и отключив автообновление.

	== Дополнительная литература ==		== Дополнительная литература ==