События
В настоящем разделе представлено описание раздела меню «События», предусматривающего механизм просмотра событий от подключённых к ARMA MC источников.
Для перехода в подраздел меню на панели навигации необходимо выбрать раздел меню «Журналы», затем – подраздел «События» (см. Рисунок – Список событий).
Рисунок – Список событий
Подраздел меню позволяет просматривать события в формате таблицы, состоящей из следующих столбцов:
«Дата» – дата формирования события в ARMA MC;
«Сообщение» – текст сообщения от источника в формате «cef»;
«Источник» – источник, зафиксировавший событие;
«Сигнатура» – образец, используемый для идентификации атаки в сети;
«Критичность» – критичность события, возможные значения от 0 до 10;
Примечание
Критичность определяется источником. Для «NGFW» критичность присваивается на основании уровня логирования в «syslog». Наиболее критичный уровень «Emergency» соответствует критичности «10», самый низкий «debug» соответствует критичности «2». Для других типов источников соответствие значений может отличаться.
«Категория» – категория сигнатуры, модуль источника событий, отреагировавшего на пакет;
«IP отправителя»;
«IP получателя».
Подраздел меню позволяет настроить отображение столбцов таблицы. Для настройки отображения столбцов необходимо нажать кнопку «Настройка столбцов» и выбрать в выпадающем списке необходимые столбцы. По умолчанию в таблице отображаются все столбцы.
Для каждого столбца доступны подсказки с дополнительной информацией. Чтобы прочитать подсказку, требуется навести мышью на значок 
рядом со столбцом.
Также для этого подраздела есть справочник с описанием доступных действий над событиями. Чтобы его прочитать, требуется нажать мышью на значок 
, после чего в правой части экрана откроется панель с информацией (см. Рисунок – Справочник действий).
Рисунок – Справочник действий
На скриншоте, приведённом выше:
1 – кнопка открытия справочника действий;
2 – область с информацией;
3 – кнопка раскрытия справочника на весь экран.
Порядок работы с информацией, представленной в формате таблицы описан в разделе «Форма раздела меню. Таблица» настоящего руководства.
Примечание
Просмотр информации о каждом событии доступен через поле «Поиск» на панели инструментов.
Поиск и фильтрация
Блок фильтрации позволяет отфильтровать необходимые события и по умолчанию состоит из следующих элементов (см. Рисунок – Блок фильтрации):
поле «Поиск»;
кнопка «Помощь»;
поле «Критичность»;
кнопка «Сбросить фильтры».
Рисунок – Блок фильтрации
Сквозной поиск по полям таблицы осуществляется с помощью ввода искомого значения в поле параметра «Поиск». Поиск осуществляется по исходному cef-сообщению с использованием синтаксиса коррелятора. В качестве примера приведён поиск событий по категории сигнатуры, содержащей значение «Integrity» (см. Рисунок – Пример поиска событий).
Рисунок – Пример поиска событий
Кнопка «Помощь» содержит рекомендации, упрощающие поиск необходимых событий, и открывает карточку «Помощь по коррелятору» с двумя вкладками – «Синтаксис» и «Поля» (см. Рисунок – Помощь по коррелятору). Вкладка «Синтаксис» содержит пояснения по именам полей и терминам, особым символам, диапазонам и логическим операторам. Вкладка «Поля» содержит описание полей и типа данных каждого поля.
Рисунок – Помощь по коррелятору
Фильтрация по полю «Критичность» позволяет отфильтровать данные по критичности события.
Сброс всех установленных фильтров осуществляется нажатием кнопки «Сбросить фильтры».
Просмотр подробной информации о событии
Для просмотра подробной информации о событии необходимо нажать на запись с событием, в результате будет отображена карточка «Информация о событии [дата] в [время]» (см. Рисунок – Информация о событии).
Рисунок – Информация о событии
Информация в карточке событий разбита на следующие блоки:
«Основное»;
«Сигнатуры»;
«Отправитель»;
«Получатель»;
«Источник события».
Блок «Основное» содержит информацию об ID события, дате и времени создания записи о событии, исходное сообщение в формате «cef», критичность события, данные о первом и последнем срабатывании, суммарном количестве срабатываний, тип и протокол события, информацию о действии, которое предпринял источник события по отношению к сетевому пакету, а также тэги правил корреляции, которые сработали на сетевой пакет.
Блок «Сигнатуры» содержит информацию об ID, имени и категории сигнатуры.
Блок «Отправитель» содержит информацию об IP, порте, исходном хосте отправителя, а также об исходном пользователе.
Блок «Получатель» содержит информацию об IP, порте и целевом хосте получателя.
Блок «Источник события» содержит информацию о версии, модуле и производителе источника событий, отреагировавших на сетевой пакет.
Примечание
Информация о событии может отличаться в зависимости от категории события.
Экспорт событий
Существует возможность локально сохранить таблицу событий. Для этого необходимо нажать кнопку «Экспорт» на панели инструментов. Формат экспортируемого файла – «csv».
После успешного экспорта списка событий появится соответствующее уведомление (см. Рисунок – Успешный экспорт событий).
Рисунок – Успешный экспорт событий