Le query predefinite non dotate di tag di avviso sono progettate per l'utilizzo con i rapporti. È normale che i rapporti contengano dati che rispecchiano eventi di tutti i livelli di gravità. È possibile personalizzare le query selezionate in modo da recuperare solo gli eventi gravi. Per fare ciò, identificare una query che recupera eventi gravi e meno gravi, copiarla, inserire filtri in grado di recuperare i soli eventi gravi e salvare la query per consentirne la selezione in un avviso.
Prima di iniziare, tenere a portata di mano il foglio di calcolo con l'elenco delle definizioni degli eventi gravi. L'esempio è basato sulle seguenti informazioni CEG:
Categoria |
Classe |
Azione |
Risultato |
Livello di protezione |
---|---|---|---|---|
Protezione operativa |
Attività di sistema |
Chiusura del sistema |
Operazione riuscita |
7 |
Protezione operativa |
Attività di sistema |
Chiusura del sistema |
Operazione non riuscita |
7 |
La query da personalizzare recupera gli eventi relativi all'arresto e all'avvio del sistema.
Per personalizzare una query in modo da recuperare solo gli eventi gravi
Ad esempio, scegliere Sicurezza operativa.
Ad esempio, le parole chiave Arresto del sistema compaiono nelle query che iniziano con la frase Avvio o arresto del sistema per host.
Per questa query, è selezionato solo Sicurezza operativa.
Ad esempio, selezionare Attività di sistema come classe e Arresto del sistema come azione.
Fare clic su Elimina per ogni riga, poiché il filtro event_action uguale ad avvio o arresto del sistema non è pertinente a questa query personalizzata.
Ad esempio, creare un filtro in cui event_result sia uguale a conferma o errore.
Ad esempio, inserire come nome Avviso: informazioni di arresto del sistema da parte dell'host. Modificare la descrizione di conseguenza.
Ad esempio, selezionare l'intervallo predefinito per gli ultimi 5 minuti, in modo da eseguire la query ogni 5 minuti nel caso si verifichi questo evento grave.
Con questa query è possibile creare un avviso per notificare una persona, un prodotto o un processo di conferma o mancato arresto del sistema. La notifica del prodotto viene eseguita attraverso trap SNMP, mentre quella del processo attraverso un output di evento/avviso di IT PAM.
Copyright © 2011 CA. Tutti i diritti riservati. | Contatta CA Technologies |