Flux de processus Gestion des événements
Gestion des événements collecte, analyse et convertit les événements en alertes, ce qui permet un suivi et une correction efficaces.
Gestion des événements reçoit des événements externes et génère des alertes en fonction des règles de gestion des événements et des alertes. Les événements sont envoyés directement à votre instance via un serveur de messagerie, un script, un interruption SNMP ou une API de service Web. Les alertes correspondantes s'affichent sur les tableaux de bord à des fins de suivi et de correction.
Lorsque l'ordinateur, le logiciel ou le service génère des événements, le Serveur MID interroge l'outil de suivi des événements externes. Le , qui Serveur MIDmaintient une connexion à Gestion des événements, envoie les informations à votre instance pour le stockage, le traitement et la correction.
L’instance stocke les événements dans la table Événement [em_event] et tente de générer des alertes en fonction de règles et de mappages d’événements prédéfinis. Qu’une alerte soit générée ou non, l’événement d’origine est disponible pour examen et correction. Les alertes sont générées en fonction du flux de processus suivant.
- Règle d’événement de correspondance : recherchez la règle d’événement la mieux adaptée à un événement.
Une règle est mise en correspondance si la source de l’événement correspond à la source spécifiée dans une règle existante. En outre, une règle est mise en correspondance si l’événement correspond au filtre de règle facultatif et si la valeur de additional_info d’événement correspond au filtre Informations supplémentaires de règle. Une règle sans filtre est ignorée, par exemple lorsque le filtre source ou le filtre Informations supplémentaires est manquant. Si plusieurs règles sont définies pour le même type d’événement, utilisez l’ordre des règles pour déterminer la séquence d’application des règles.
- Ignorer la règle : si la case Ignorer la règle est cochée, aucune alerte n’est générée. Toutefois, l'événement est toujours disponible à des fins d'examen et de correction.
- Appliquer les transformations :
- Si des conversions ont été définies, appliquez-les.
- Si des paramètres de composition sont définis, appliquez le contenu supplémentaire à présenter à l'utilisateur dans l'alerte.
- Accumulation de seuil : si Actif dans la section de seuil est sélectionnée, accumulez tous les événements jusqu’à ce que le seuil soit atteint, puis générez une alerte unique pour les événements.
- Mappage de champs d'événements
- Recherchez un mappage de champs d'événements même en l'absence de règles d'événements.
- Si un mappage de champs d'événements est détecté, appliquez les informations de mappage.
- Si l'événement n'a aucune gravité après les conversions d'événements, conservez l'événement à des fins de référence et ne générez pas d'alerte.
- Génération d’alerte
- Recherchez une clé de message correspondante dans la table Alerte [em_alert].
- Si une clé de message correspondante existe, mettez à jour l'alerte en fonction des informations sur l'événement.
- Si aucune clé de message correspondante n'existe, créez une alerte.
- Si un autre événement dispose de la même clé correspondante, associez les événements au sein d'une seule alerte.
- À des fins d’analyse de la cause première, liez l’alerte à un élément de configuration (CI) spécifique.