Trigger-API-Referenz

Instanzmethoden

Die Methoden in diesem Abschnitt können nicht direkt auf dem aufgerufen werden Application Klasse. Sie können diese Methoden nur für bestimmte Application-Klasseninstanzen aufrufen. Zum Beispiel ist die folgende Aussage gültig:

Application("sampleApp").metricAddCount("responses", 1);

Die folgende Aussage ist jedoch ungültig:

Application.metricAddCount("responses", 1);

commit(id: Schnur ): Leere

Erstellt eine Anwendung, überträgt die mit dem Ereignis verknüpften integrierten Metriken an die Anwendung und fügt die Anwendung zu allen integrierten oder benutzerdefinierten Datensätzen hinzu, die während des Ereignisses festgeschrieben wurden.

Die Anwendungs-ID muss eine Zeichenfolge sein. Bei integrierten Anwendungsmetriken werden die Metriken nur einmal festgeschrieben, auch wenn commit() Die Methode wird mehrmals für dasselbe Ereignis aufgerufen.

Die folgende Anweisung erstellt eine Anwendung mit dem Namen „myApp" und überträgt integrierte Metriken an die Anwendung:

Application("myApp").commit();

Kopieren

Wenn Sie benutzerdefinierte Metriken an eine Anwendung übertragen möchten, können Sie die Anwendung erstellen, ohne die commit() Methode. Wenn die Anwendung beispielsweise noch nicht existiert, erstellt die folgende Anweisung die Anwendung und überträgt die benutzerdefinierte Metrik an die Anwendung:

Application("myApp").metricAddCount("requests", 1);

Kopieren

Du kannst das anrufen Application.commit Methode nur bei den folgenden Ereignissen:

Metrische Typen	Ereignis
AAA	AAA_REQUEST -und- AAA_RESPONSE
AJP	AJP_RESPONSE
CIFS	CIFS_RESPONSE
DB	DB_RESPONSE
DHCP	DHCP_REQUEST -und- DHCP_RESPONSE
DNS	DNS_REQUEST -und- DNS_RESPONSE
FIX	FIX_REQUEST -und- FIX_RESPONSE
FTP	FTP_RESPONSE
HTTP	HTTP_RESPONSE
IBMMQ	IBMMQ_REQUEST -und- IBMMQ_RESPONSE
ICA	ICA_TICK -und- ICA_CLOSE
Kerberos	KERBEROS_REQUEST -und- KERBEROS_RESPONSE
LDAP	LDAP_REQUEST -und- LDAP_RESPONSE
Memcache	MEMCACHE_REQUEST -und- MEMCACHE_RESPONSE
Modbus	MODBUS_RESPONSE
MongoDB	MONGODB_REQUEST -und- MONGODB_RESPONSE
NAS	CIFS_RESPONSE -und/oder- NFS_RESPONSE
NetFlow	NETFLOW_RECORD Beachten Sie, dass das Commit nicht erfolgt, wenn Enterprise-IDs im NetFlow-Datensatz vorhanden sind.
NFS	NFS_RESPONSE
RDP	RDP_TICK
Redis	REDIS_REQUEST -und- REDIS_RESPONSE
RPC	RPC_REQUEST -und- RPC_RESPONSE
RTP	RTP_TICK
RTCP	RTCP_MESSAGE
SCCP	SCCP_MESSAGE
SIP	SIP_REQUEST -und- SIP_RESPONSE
SFlow	SFLOW_RECORD
SMTP	SMTP_RESPONSE
SSH	SSH_CLOSE -und- SSH_TICK
SSL	SSL_RECORD -und- SSL_CLOSE
WebSocket	WEBSOCKET_OPEN, WEBSOCKET_CLOSE, und WEBSOCKET_MESSAGE

metricAddCount(metric_name: Schnur , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Metrik zählen. Übergibt die Metrikdaten an die angegebene Anwendung.

metric_name: Schnur

Der Name der Metrik für die Zählung der obersten Ebene.

count: Zahl

Der Inkrementwert. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. Ein NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgende Eigenschaft enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailCount(metric_name: Schnur , key: Schnur | IP-Adresse , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Metrik zählen anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an die angegebene Anwendung.

metric_name: Schnur

Der Name der Metrik für die Detailanzahl.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

count: Zahl

Der Inkrementwert. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. Ein NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgende Eigenschaft enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDataset(metric_name: Schnur , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Datensatz-Metrik. Übergibt die Metrikdaten an die angegebene Anwendung.

metric_name: Schnur

Der Name der Datensatzmetrik der obersten Ebene.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

freq: Zahl

Eine Option, die es Ihnen ermöglicht, mehrere Vorkommen bestimmter Werte im Datensatz gleichzeitig aufzuzeichnen, wenn sie auf die Anzahl von Vorkommen gesetzt ist, die durch val Parameter. Wenn kein Wert angegeben ist, ist der Standardwert 1.

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailDataset(metric_name: Schnur , key: Schnur | IP-Adresse , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Datensatz-Metrik anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an die angegebene Anwendung.

metric_name: Schnur

Der Name der Metrik für die Detailanzahl.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

freq: Zahl

Eine Option, die es Ihnen ermöglicht, mehrere Vorkommen bestimmter Werte im Datensatz gleichzeitig aufzuzeichnen, wenn sie auf die Anzahl von Vorkommen gesetzt ist, die durch val Parameter. Wenn kein Wert angegeben ist, ist der Standardwert 1.

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDistinct(metric_name: Schnur , item: Zahl | Schnur | IP-Adresse :void

Erstellt ein benutzerdefiniertes oberste Ebene unterschiedliche Zählmetrik. Übergibt die Metrikdaten an die angegebene Anwendung.

metric_name: Schnur

Der Name der Metrik für die eindeutige Anzahl auf oberster Ebene.

item: Zahl | Schnur | IP-Adresse

Der Wert, der in das Set aufgenommen werden soll. Der Wert wird in eine Zeichenfolge umgewandelt, bevor er in den Satz aufgenommen wird.

metricAddDetailDistinct(metric_name: Schnur , key: Schnur | IP-Adresse , item: Zahl | Schnur | IP-Adresse :void

Erstellt ein benutzerdefiniertes Detail unterschiedliche Zählmetrik anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an die angegebene Anwendung.

metric_name: Schnur

Der Name der detaillierten Metrik für unterschiedliche Zählungen.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

item: Zahl | Schnur | IP-Adresse

Der Wert, der in das Set aufgenommen werden soll. Der Wert wird in eine Zeichenfolge umgewandelt, bevor er in den Satz aufgenommen wird.

metricAddMax(metric_name: Schnur , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene maximale Metrik. Übergibt die Metrikdaten an die angegebene Anwendung.

metric_name: Schnur

Der Name der maximalen Metrik der obersten Ebene.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailMax(metric_name: Schnur , key: Schnur | IP-Adresse , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail maximale Metrik anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an die angegebene Anwendung.

metric_name: Schnur

Der Name der maximalen Detailmetrik.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddSampleset(metric_name: Schnur , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Stichprobensatz, Metrik. Übergibt die Metrikdaten an die angegebene Anwendung.

metric_name: Schnur

Der Name der Sampleset-Metrik der obersten Ebene.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailSampleset(metric_name: Schnur , key: Schnur | IP-Adresse , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Stichprobensatz, Metrik anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an die angegebene Anwendung.

metric_name: Schnur

Der Name der Detail-Sampleset-Metrik.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddSnap(metric_name: Schnur , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Snapshot-Metrik. Übergibt die Metrikdaten an die angegebene Anwendung.

metric_name: Schnur

Der Name der Snapshot-Metrik der obersten Ebene.

count: Zahl

Der beobachtete Wert, z. B. aktuell hergestellte Verbindungen. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailSnap(metric_name: Schnur , key: Schnur | IP-Adresse , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Snapshot-Metrik anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an die angegebene Anwendung.

metric_name: Schnur

Der Name der Detail-Sampleset-Metrik.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

count: Zahl

Der beobachtete Wert, z. B. aktuell hergestellte Verbindungen. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

toString(): Schnur

Gibt das Application-Objekt als Zeichenfolge im folgenden Format zurück:

[object Application <application_id>]

Kopieren

Instanzeigenschaften

id: Schnur

Die eindeutige ID der Anwendung, wie sie im ExtraHop-System auf der Seite für diese Anwendung angezeigt wird.

Beispiele für Trigger

• Beispiel: Erstellen Sie einen Anwendungscontainer

Ein Puffer ist ein Objekt mit den Eigenschaften eines Arrays. Jedes Element im Array ist eine Zahl zwischen 0 und 255, die ein Byte darstellt. Jedes Pufferobjekt hat eine Längeneigenschaft (die Anzahl der Elemente in einem Array) und einen Operator mit eckigen Klammern.

Verschlüsselte Nutzdaten werden für die TCP- und UDP-Nutzlastanalyse nicht entschlüsselt.

UDP_PAYLOAD benötigt aber eine passende Zeichenfolge TCP_PAYLOAD tut nicht. Wenn Sie keine passende Zeichenfolge angeben für TCP_PAYLOAD, der Auslöser wird einmal nach den ersten N Byte der Nutzlast ausgeführt.

Instanzmethoden

decode(type: Schnur ): Schnur

Interpretiert den Inhalt des Puffers und gibt eine Zeichenfolge mit einer der folgenden Optionen zurück:

• utf-8
• utf-16
• ucs2
• hex

equals(buffer: Puffer ): Boolesch

Führt einen Gleichheitstest zwischen Buffer-Objekten durch, wobei buffer ist das Objekt, mit dem verglichen werden soll.

slice(start: Zahl , end: Zahl ): Puffer

Gibt die angegebenen Bytes in einem Puffer als neuen Puffer zurück. Bytes werden ab dem angegebenen Startargument ausgewählt und enden am Endargument (aber nicht einschließlich).

start: Zahl

Ganzzahl, die angibt, wo die Auswahl beginnen soll. Geben Sie negative Zahlen an, um am Ende eines Puffers auszuwählen. Das ist nullbasiert.

end: Zahl

Optionale Ganzzahl, die angibt, wo die Auswahl beendet werden soll. Wenn nicht angegeben, werden alle Elemente von der Startposition bis zum Ende des Puffers ausgewählt. Geben Sie negative Zahlen an, um am Ende eines Puffers auszuwählen. Das ist nullbasiert.

toString(format: Schnur ): Schnur

Konvertiert den Puffer in eine Zeichenfolge. Der folgende Parameter ist optional:

format: Schnur

Das Format, mit dem die Zeichenfolge codiert werden soll. Wenn keine Kodierung angegeben ist, ist die Zeichenfolge uncodiert. Die folgenden Kodierungsformate sind gültig:

• base64
• base64url
• hex

unpack(format: Schnur , offset: Zahl ): Reihe

Verarbeitet binäre Daten oder Daten mit fester Breite aus einem beliebigen Pufferobjekt, z. B. eines, das von HTTP.payload, Flow.client.payload, oder Flow.sender.payload, entsprechend der angegebenen Formatzeichenfolge und optional am angegebenen Offset.

Gibt ein JavaScript-Array zurück, das ein oder mehrere entpackte Felder enthält und die absolute Payload-Byteposition +1 des letzten Bytes im entpackten Objekt enthält. Der Bytewert kann in weiteren Aufrufen zum Entpacken eines Puffers als Offset angegeben werden.

Hinweis:

Das buffer.unpack Die Methode interpretiert Bytes standardmäßig in Big-Endian-Reihenfolge. Um Bytes in Little-Endian-Reihenfolge zu interpretieren, stellen Sie der Formatzeichenfolge ein Kleiner-als-Zeichen voran (<). Das Format muss nicht den gesamten Puffer verbrauchen. Null-Bytes sind in entpackten Zeichenketten nicht enthalten. Zum Beispiel: buf.unpack('4s')[0] - > 'example'. Das Z-Formatzeichen steht für nullterminierte Zeichenketten variabler Länge. Wenn das letzte Feld z ist, wird die Zeichenfolge erzeugt, unabhängig davon, ob das Nullzeichen vorhanden ist oder nicht. Eine Ausnahme wird ausgelöst, wenn nicht alle Felder entpackt werden können, weil der Puffer nicht genügend Daten enthält.

Die folgende Tabelle zeigt die unterstützten Puffer-String-Formate:

Formatieren	Typ C	JavaScript-Typ	Standardgröße
x	pad type	kein Wert
A	struct in6_addr	IPAddress	16
a	struct in_addr	IPAddress	4
b	signed char	string of length 1	1
B	unsigned char	number	1
?	_Bool	boolean	1
H	unsignierter Kurzfilm	number	2
h	short	number	2
i	int	number	4
I	unsigned int	number	4
l	long	number	4
L	unsigned long	number	4
q	long long	number	8
Q	unsigned long long	number	8
f	number	number	4
d	double	number	4
s	char[]	string
z	char[]	string

Instanzeigenschaften

length: Zahl

Die Anzahl der Byte im Puffer.

Beispiele für Trigger

• Beispiel: NTP mit universeller Nutzlastanalyse analysieren
• Beispiel: Syslog über TCP mit universeller Nutzlastanalyse analysieren

Ereignisse

DETECTION_UPDATE

Wird ausgeführt, wenn eine Erkennung auf dem ExtraHop-System erstellt oder aktualisiert wird.

Wichtig:

Dieses Ereignis wird für alle Erkennungen ausgeführt, unabhängig vom Modulzugriff, der dem Benutzer gewährt wird, der den Auslöser erstellt. Beispielsweise werden Trigger, die von Benutzern mit NPM-Modulzugriff erstellt wurden, am ausgeführt DETECTION_UPDATE Ereignisse für Sicherheits- und Leistungserkennungen.

Hinweis:

Dieses Ereignis wird nicht ausgeführt, wenn der Status eines Erkennungstickets aktualisiert wird. Wenn Sie beispielsweise einen Erkennungsbeauftragten ändern, wird das Ereignis DETECTION_UPDATE nicht ausgeführt. Dieses Ereignis wird auch nicht für versteckte Erkennungen ausgeführt.

Hinweis:

Sie können Trigger, die nur bei diesem Ereignis ausgeführt werden, nicht bestimmten Geräten oder Gerätegruppen zuweisen. Trigger, die bei diesem Ereignis ausgeführt werden, werden immer dann ausgeführt, wenn dieses Ereignis eintritt.

Eigenschaften

applianceId: Zahl

Wenn angerufen auf einem Konsole, gibt die ID des angeschlossenen Sensor zurück, an dem die Erkennung stattgefunden hat. Wenn auf einem Sensor aufgerufen, kehrt zurück 0.

assignee: Schnur

Der Empfänger des Tickets, das mit der Erkennung verknüpft ist.

categories: Reihe von Zeichenketten

Die Liste der Kategorien, zu denen die Erkennung gehört.

Die folgenden Werte sind gültig:

Wert	Kategorie
sec	Sicherheit
sec.action	Zielgerichtete Maßnahmen
sec.botnet	Botnetz
sec.caution	Vorsicht
sec.command	Befehl und Steuerung
sec.cryptomining	Krypto-Mining
sec.dos	Diensteverweigerung
sec.exfil	Exfiltration
sec.exploit	Ausbeutung
sec.hardening	Aushärten
sec.lateral	Seitliche Bewegung
sec.ransomware	Ransomware
sec.recon	Aufklärung
perf	Aufführung
perf.auth	Autorisierung und Zugriffskontrolle
perf.db	Datenbank
perf.network	Netzwerk-Infrastruktur
perf.service	Verschlechterung des Dienstes
perf.storage	Aufbewahrung
perf.virtual	Desktop- und Anwendungsvirtualisierung
perf.web	Web-Applikation

description: Schnur

Die Beschreibung der Erkennung.

Hinweis:

Es ist oft einfacher, Informationen über eine Erkennung aus dem Detection.properties Eigenschaft als das Parsen des Detection.description Text. Weitere Informationen finden Sie in der Detection.properties Beschreibung.

Die folgende Tabelle zeigt gängige Markdown-Formate, die Sie in die Beschreibung aufnehmen können:

Format	Beschreibung	Beispiel
Überschriften	Platzieren Sie ein Nummernzeichen (#) und ein Leerzeichen vor Ihrem Text, um Überschriften zu formatieren. Die Ebene der Überschrift wird durch die Anzahl der Nummernzeichen bestimmt.	#### Example H4 heading
Ungeordnete Listen	Platzieren Sie ein einzelnes Sternchen (*) vor Ihrem Text. Wenn möglich, fügen Sie jedes Listenelement in eine separate Zeile ein.	* First example * Second example
Geordnete Listen	Platzieren Sie für jeden Zeileneintrag eine Zahl 1 und einen Punkt (1.) vor Ihrem Text. Markdown erhöht automatisch die Listennummer. Wenn möglich, fügen Sie jedes Listenelement in eine separate Zeile ein.	1. First example 1. Second example
Mutig	Platzieren Sie doppelte Sternchen vor und nach Ihrem Text.	**bold text**
Kursivschrift	Platzieren Sie einen Unterstrich vor und nach Ihrem Text.	_italicized text_
Hyperlinks	Platzieren Sie den Linktext in Klammern vor der URL in Klammern. Oder geben Sie Ihre URL ein. Links zu externen Websites werden in einem neuen Browser-Tab geöffnet. Links innerhalb des ExtraHop-Systems, wie z. B. Dashboards, werden im aktuellen Browser-Tab geöffnet.	[Visit our home page](https://www.extrahop.com) https://www.extrahop.com
Anführungszeichen blockieren	Platzieren Sie eine rechtwinklige Klammer und ein Leerzeichen vor Ihrem Text.	On the ExtraHop website: > Access the live demo and review case studies.
Emojis	Kopieren Sie ein Emoji-Bild und fügen Sie es in das Textfeld ein. Sehen Sie die Unicode-Emoji-Diagramm Website für Bilder. Die Markdown-Syntax unterstützt keine Emoji-Shortcodes.

endTime: Zahl

Die Zeit, zu der die Erkennung endete, ausgedrückt in Millisekunden seit der Epoche.

id: Zahl

Die eindeutige Kennung für die Erkennung.

isCustom: Boolesch

Der Wert ist true wenn es sich bei der Erkennung um eine benutzerdefinierte Erkennung handelt, die durch einen Auslöser generiert wurde.

isEventCreate: Boolesch

Wenn der Wert wahr ist, wird DETECTION_UPDATE Das Ereignis wurde ausgeführt, als die Erkennung erstellt wurde. Wenn der Wert falsch ist, wird DETECTION_UPDATE Das Ereignis wurde ausgeführt, als die Erkennung aktualisiert wurde.

mitreCategories: Reihe von Objekten

Ein Array von Objekten, das die MITRE-Techniken und -Taktiken enthält, die mit der Erkennung verknüpft sind. Jedes Objekt enthält die folgenden Eigenschaften:

id

Die ID der MITRE-Technik oder -Taktik.

name

Der Name der MITRE-Technik oder -Taktik.

url

Die Webadresse der Technik oder Taktik auf der MITRE-Website.

participants: Reihe von Objekten

Eine Reihe von Teilnehmerobjekten, die mit der Erkennung verknüpft sind. Ein Teilnehmerobjekt enthält die folgenden Eigenschaften:

object: Objekt

Das Gerät, die Anwendung oder das IP-Adressobjekt, das dem Teilnehmer zugeordnet ist.

id: Zahl

Die ID des Teilnehmer.

role: Schnur

Die Rolle des Teilnehmer bei der Erkennung. Die folgenden Werte sind gültig:

• offender
• victim

properties: Objekt

Ein Objekt, das die Eigenschaften der Erkennung enthält. Nur integrierte Erkennungstypen enthalten Erkennungseigenschaften. Der Erkennungstyp bestimmt, welche Eigenschaften verfügbar sind.

Die Feldnamen des Objekts sind die Namen der Erkennungseigenschaften. Zum Beispiel umfasst der Erkennungstyp Anonymous FTP Auth Enabled die client_port Eigentum, auf das Sie mit dem folgenden Code zugreifen können:

Detection.properties.client_port

Kopieren

Um die Namen der Erkennungseigenschaften anzuzeigen, zeigen Sie die Erkennungstypen mit dem GET /detections/formats Betrieb in der ExtraHop REST-API.

Hinweis:

Im Trigger-Editor können Sie gültige Erkennungseigenschaften mit der Funktion zur automatischen Vervollständigung anzeigen, wenn Sie eine Logik einbeziehen, die den Erkennungstyp bestimmt. Wenn der Auslöser beispielsweise den folgenden Code enthält und Sie nach „properties" einen Punkt eingeben, zeigt der Triggereditor die gültigen Eigenschaften für die Erkennung von Anonymous FTP Auth Enabled an: if (Detection.type === 'anonymous_ftp') { Detection.properties } Kopieren

resolution: Schnur

Die Auflösung des Tickets, das mit der Erkennung verknüpft ist. Gültige Werte sind action_taken und no_action_taken.

riskScore: Nummer | null

Die Risikoscore der Erkennung.

startTime: Zahl

Die Zeit, zu der die Erkennung begann, ausgedrückt in Millisekunden seit der Epoche.

status: Schnur

Der Status des Tickets, das mit der Erkennung verknüpft ist. Gültige Werte sind acknowledged, new, in_progress, und closed.

ticketId: Schnur

Die ID des Tickets, das mit der Erkennung verknüpft ist.

title: Schnur

Der Titel der Erkennung.

type: Schnur

Die Art der Erkennung. Bei benutzerdefinierten Erkennungen wird der benutzerdefinierten Zeichenfolge „custom" vorangestellt . Wenn Sie beispielsweise angeben brute_force_attack in der commitDetection Funktion, der Erkennungstyp ist custom.brute_force_attack.

updateTime: Zahl

Das letzte Mal, dass die Erkennung aktualisiert wurde, ausgedrückt in Millisekunden seit der Epoche.

Methoden

Device(id: Schnur )

Konstruktor für das Device-Objekt, das einen Parameter akzeptiert, bei dem es sich um eine eindeutige 16-stellige Zeichenketten-ID handelt.

Wenn eine ID von einem vorhandenen Device-Objekt bereitgestellt wird, erstellt der Konstruktor eine Kopie dieses Objekts mit allen Objekteigenschaften, wie im folgenden Beispiel gezeigt:

myDevice = new Device(Flow.server.device.id);
debug("myDevice MAC: " + myDevice.hwaddr);

Kopieren

Metriken , die über eine an ein Geräteobjekt übergeben wurden metricAdd* Funktionen werden im Datenspeicher gespeichert

lookupByIP(addr: IP-Adresse | Schnur , vlan: Zahl ): Gerät

Gibt das L3-Gerät zurück, das der angegebenen IP-Adresse und VLAN-ID entspricht. Retouren null wenn kein Treffer gefunden wird.

addr: IP-Adresse | Schnur

Die IP-Adresse für das Gerät. Die IP-Adresse kann angegeben werden als IPAddress Objekt oder als Zeichenfolge.

vlan: Nummer

Die VLAN-ID für das Gerät. Gibt einen Standardwert von 0 wenn keine VLAN-ID angegeben wird oder wenn der Wert der devices_across_vlans Die Einstellungen sind eingestellt auf true in der Konfigurationsdatei ausführen.

lookupByMAC(addr: Schnur , vlan: Zahl ): Gerät

Gibt das L2-Gerät zurück, das der angegebenen MAC-Adresse und VLAN-ID entspricht. Retouren null wenn kein Treffer gefunden wird.

addr: Schnur

Die MAC-Adresse für das Gerät.

vlan: Zahl

Die VLAN-ID für das Gerät. Gibt einen Standardwert von 0 wenn keine VLAN-ID angegeben wird oder wenn der Wert der devices_across_vlans Die Einstellungen sind eingestellt auf true in der Konfigurationsdatei ausführen.

toString(): Schnur

Gibt das Device-Objekt als Zeichenfolge im folgenden Format zurück:

[object Device <discovery_id>]

Kopieren

Instanzmethoden

Die in diesem Abschnitt beschriebenen Methoden sind nur auf Instanzen der Device-Klasse vorhanden. Mit den meisten Methoden können Sie benutzerdefinierte Messwerte auf Geräteebene erstellen, wie im folgenden Beispiel gezeigt:

Flow.server.device.metricAddCount("slow_rsp", 1);

equals(device: Gerät ): Boolesch

Führt einen Gleichheitstest zwischen Device-Objekten durch, wobei device ist das Objekt, mit dem verglichen werden soll.

metricAddCount(metric_name: Schnur , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Metrik zählen. Überträgt die Metrikdaten an das angegebene Gerät.

metric_name: Schnur

Der Name der Metrik für die Zählung der obersten Ebene.

count: Zahl

Der Inkrementwert. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. Ein NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgende Eigenschaft enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailCount(metric_name: Schnur , key: Schnur | IP-Adresse , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Metrik zählen anhand derer Sie einen Drilldown durchführen können. Überträgt die Metrikdaten an das angegebene Gerät.

metric_name: Schnur

Der Name der Metrik für die Detailzählung.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

count: Zahl

Der Inkrementwert. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. Ein NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgende Eigenschaft enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDataset(metric_name: Schnur , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Datensatz-Metrik. Überträgt die Metrikdaten an das angegebene Gerät.

metric_name: Schnur

Der Name der Datensatzmetrik der obersten Ebene.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

freq: Zahl

Eine Option, die es Ihnen ermöglicht, mehrere Vorkommen bestimmter Werte im Datensatz gleichzeitig aufzuzeichnen, wenn sie auf die Anzahl von Vorkommen gesetzt ist, die durch val Parameter. Wenn kein Wert angegeben ist, ist der Standardwert 1.

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailDataset(metric_name: Schnur , key: Schnur | IP-Adresse , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Datensatz-Metrik anhand derer Sie einen Drilldown durchführen können. Überträgt die Metrikdaten an das angegebene Gerät.

metric_name: Schnur

Der Name der Metrik für die Detailzählung.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

freq: Zahl

Eine Option, die es Ihnen ermöglicht, mehrere Vorkommen bestimmter Werte im Datensatz gleichzeitig aufzuzeichnen, wenn sie auf die Anzahl von Vorkommen gesetzt ist, die durch val Parameter. Wenn kein Wert angegeben ist, ist der Standardwert 1.

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDistinct(metric_name: Schnur , item: Zahl | Schnur | IP-Adresse :void

Erstellt ein benutzerdefiniertes oberste Ebene unterschiedliche Zählmetrik. Überträgt die Metrikdaten an das angegebene Gerät.

metric_name: Schnur

Der Name der Metrik für die eindeutige Anzahl auf oberster Ebene.

item: Zahl | Schnur | IP-Adresse

Der Wert, der in das Set aufgenommen werden soll. Der Wert wird in eine Zeichenfolge umgewandelt, bevor er in den Satz aufgenommen wird.

metricAddDetailDistinct(metric_name: Schnur , key: Schnur | IP-Adresse , item: Zahl | Schnur | IP-Adresse :void

Erstellt ein benutzerdefiniertes Detail unterschiedliche Zählmetrik anhand derer Sie einen Drilldown durchführen können. Überträgt die Metrikdaten an das angegebene Gerät.

metric_name: Schnur

Der Name der detaillierten Metrik für unterschiedliche Zählungen.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

item: Zahl | Schnur | IP-Adresse

Der Wert, der in das Set aufgenommen werden soll. Der Wert wird in eine Zeichenfolge umgewandelt, bevor er in den Satz aufgenommen wird.

metricAddMax(metric_name: Schnur , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene maximale Metrik. Überträgt die Metrikdaten an das angegebene Gerät.

metric_name: Schnur

Der Name der maximalen Metrik der obersten Ebene.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailMax(metric_name: Schnur , key: Schnur | IP-Adresse , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail maximale Metrik anhand derer Sie einen Drilldown durchführen können. Überträgt die Metrikdaten an das angegebene Gerät.

metric_name: Schnur

Der Name der maximalen Detailmetrik.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddSampleset(metric_name: Schnur , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Stichprobensatz, Metrik. Überträgt die Metrikdaten an das angegebene Gerät.

metric_name: Schnur

Der Name der Sampleset-Metrik der obersten Ebene.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailSampleset(metric_name: Schnur , key: Schnur | IP-Adresse , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Stichprobensatz, Metrik anhand derer Sie einen Drilldown durchführen können. Überträgt die Metrikdaten an das angegebene Gerät.

metric_name: Schnur

Der Name der Detail-Sampleset-Metrik.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddSnap(metric_name: Schnur , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Snapshot-Metrik. Überträgt die Metrikdaten an das angegebene Gerät.

metric_name: Schnur

Der Name der Snapshot-Metrik der obersten Ebene.

count: Zahl

Der beobachtete Wert, z. B. aktuell hergestellte Verbindungen. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailSnap(metric_name: Schnur , key: Schnur | IP-Adresse , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Snapshot-Metrik anhand derer Sie einen Drilldown durchführen können. Überträgt die Metrikdaten an das angegebene Gerät.

metric_name: Schnur

Der Name der Detail-Sampleset-Metrik.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

count: Zahl

Der beobachtete Wert, z. B. aktuell hergestellte Verbindungen. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

Instanzeigenschaften

Die folgenden Eigenschaften ermöglichen das Abrufen von Geräteattributen und sind nur auf Instanzen der Device-Klasse vorhanden.

cdpName: Schnur

Der dem Gerät zugeordnete CDP-Name, falls vorhanden.

dhcpName: Schnur

Das DHCP Name, der dem Gerät zugeordnet ist, falls vorhanden.

discoverTime: Zahl

Der Zeitpunkt, an dem das Gerät durch den Erfassungsvorgang zum letzten Mal entdeckt wurde (nicht die ursprüngliche Entdeckungszeit), ausgedrückt in Millisekunden seit der Epoche (1. Januar 1970). Zuvor erkannte Geräte können vom Erfassungsprozess wiedererkannt werden, wenn sie inaktiv sind und später wieder aktiv werden, oder wenn der Erfassungsvorgang neu gestartet wird.

Informationen darüber, wie ein Auslöser nur bei der ersten Erkennung eines Gerät ausgeführt werden soll, finden Sie unter NEW_DEVICE besprochene Ereignis in der Discover Klasse.

dnsNames: Reihe

Ein String-Array, das die mit dem Gerät verknüpften DNS-Namen auflistet, falls vorhanden.

hasTrigger: Boolesch

Der Wert ist true wenn ein Auslöser, der dem Device-Objekt zugewiesen ist, gerade läuft.

Wenn der Auslöser bei einem Ereignis ausgeführt wird, das mit einem verknüpft ist Flow Objekt, das hasTrigger Immobilienwert ist true auf mindestens einem der Device-Objekte im Fluss.

Das hasTrigger Diese Eigenschaft ist nützlich, um Geräterollen zu unterscheiden. Wenn beispielsweise einer Gruppe von Proxyservern ein Auslöser zugewiesen ist, können Sie leicht feststellen, ob ein Gerät als Client oder Server fungiert, anstatt nach IP-Adressen oder Geräte-IDs zu suchen, wie im folgenden Beispiel:

//Event: HTTP_REQUEST
if (Flow.server.device.hasTrigger) {
    // Incoming request
} else {
    // Outgoing request
}

Kopieren

hwaddr: Schnur

Die MAC-Adresse des Gerät, falls vorhanden.

id: Schnur

Die 16-stellige eindeutige ID des Geräts, wie sie im ExtraHop-System auf der Seite für dieses Gerät angezeigt wird.

ipaddrs: Reihe

Eine Reihe von IPAddress Objekte, die die bekannten IP-Adressen des Geräts darstellen. Für L3 Geräte, das Array enthält immer eine IP-Adresse.

isGateway: Boolesch

Der Wert ist true wenn das Gerät ein Gateway ist.

isL3: Boolesch

Der Wert ist true wenn das Gerät ein L3 Gerät für Kinder.

Wichtig:

Wenn Sie das ExtraHop-System nicht aktiviert haben Geräte anhand der IP-Adresse erkennen, ist die Eigenschaft isL3 immer auf False gesetzt, da das System nicht zwischen untergeordneten L3-Geräten und übergeordneten L2-Geräten unterscheidet.

netbiosName: Schnur

Der NetBIOS-Name, der dem Gerät zugeordnet ist, falls vorhanden.

vlanId: Zahl

Die VLAN-ID für das Gerät.

Beispiele für Trigger

• Beispiel: SMB-Aktionen auf Geräten überwachen
• Beispiel: HTTP-Antworten auf 500-Ebene nach Kunden-ID und URI verfolgen
• Beispiel: Antwortmetriken für Datenbankabfragen sammeln
• Beispiel: Erkannte Gerätedaten an einen Remote-Syslog-Server senden
• Beispiel: Zugriff auf HTTP-Header-Attribute
• Beispiel: Memcache-Treffer und Fehlschläge aufzeichnen
• Beispiel: Memcache-Schlüssel analysieren
• Beispiel: Analysieren von benutzerdefinierten PoS-Nachrichten mit universeller Nutzlastanalyse
• Beispiel: Metriken zum Metric Cycle Store hinzufügen

Ereignisse

NEW_APPLICATION

Wird ausgeführt, wenn eine Anwendung zum ersten Mal erkannt wird. Dieses Ereignis verbraucht Erfassungsressourcen.

Hinweis:

Sie können Trigger, die nur bei diesem Ereignis ausgeführt werden, nicht bestimmten Geräten oder Gerätegruppen zuweisen. Trigger, die bei diesem Ereignis ausgeführt werden, werden immer dann ausgeführt, wenn dieses Ereignis eintritt.

NEW_DEVICE

Wird ausgeführt, wenn Aktivität zum ersten Mal auf einem Gerät beobachtet wird. Dieses Ereignis verbraucht Erfassungsressourcen.

Hinweis:

Sie können Trigger, die nur bei diesem Ereignis ausgeführt werden, nicht bestimmten Geräten oder Gerätegruppen zuweisen. Trigger, die bei diesem Ereignis ausgeführt werden, werden immer dann ausgeführt, wenn dieses Ereignis eintritt.

Eigenschaften

application: Bewerbung

Eine neu entdeckte Anwendung.

Gilt nur für NEW_APPLICATION Ereignisse.

device: Gerät

Ein neu entdecktes Gerät.

Gilt nur für NEW_DEVICE Ereignisse.

Hinweis:

Sie können diese Immobilie nicht als Teilnehmer an der angeben commitDetection Funktion.

Beispiele für Trigger

• Beispiel: Erkannte Gerätedaten an einen Remote-Syslog-Server senden

Ereignisse

Wenn ein Fluss mit einem ExtraHop-überwachten verknüpft ist L7 Protokoll, Ereignisse, die mit dem Protokoll korrelieren, werden zusätzlich zu Flow-Ereignissen ausgeführt. Zum Beispiel ein Fluss, der verknüpft ist mit HTTP wird auch das ausführen HTTP_REQUEST und HTTP_RESPONSE Ereignisse.

FLOW_CLASSIFY

Wird immer dann ausgeführt, wenn das ExtraHop-System einen Fluss anfänglich als einem bestimmten Protokoll zugeordnet klassifiziert.

Hinweis:

Für TCP-Flows ist der FLOW_CLASSIFY Ereignis läuft nach dem TCP_OPEN Ereignis.

Durch eine Kombination von L7 Nutzlastanalyse, Beobachtung von TCP-Handshakes und auf Portnummern basierende Heuristiken, FLOW_CLASSIFY Ereignis identifiziert das L7-Protokoll und die Geräterollen für die Endpunkte in einem Fluss, wie Client/server oder sender/empfänger.

Die Art eines Fluss kann sich im Laufe seiner Lebensdauer ändern, z. B. beim Tunneln über HTTP oder beim Wechsel von SMTP zu SMTP-TLS. In diesen Fällen FLOW_CLASSIFY läuft nach der Protokolländerung erneut.

Das FLOW_CLASSIFY Ereignis ist nützlich, um eine Aktion für einen Fluss zu initiieren, die auf frühester Kenntnis von Flow-Informationen wie dem L7-Protokoll, Client-/Server-IP-Adressen oder Sender-/Empfänger-Ports basiert.

Gemeinsame Maßnahmen eingeleitet am FLOW_CLASSIFY beinhaltet das Starten einer PCAP über den captureStart() Verfahren zum Zuordnen des Fluss zu einem Anwendungscontainer durch den addApplication() Methode.

Zusätzliche Optionen sind verfügbar, wenn Sie einen Auslöser erstellen, der für dieses Ereignis ausgeführt wird. In der Standardeinstellung FLOW_CLASSIFY wird nicht nach Ablauf eines Flows ausgeführt. Sie können dafür jedoch einen Auslöser konfigurieren, um Metriken für Flows zu sammeln, die vor dem Ablauf nicht klassifiziert wurden. siehe Erweiterte Trigger-Optionen für weitere Informationen.

FLOW_DETACH

Wird ausgeführt, wenn der Parser auf einen unerwarteten Fehler gestoßen ist oder der Speicher knapp wird, und folgt dem Fluss nicht mehr. Darüber hinaus kann ein Datenfeed von geringer Qualität mit fehlenden Paketen dazu führen, dass der Parser getrennt wird.

Das FLOW_DETACH Ereignis ist nützlich, um bösartige Inhalte zu erkennen, die gesendet wurden von Klienten und Server. Das Folgende ist ein Beispiel dafür, wie ein Auslöser Fehler erkennen kann DNS Antworten auf FLOW_DETACH Ereignisse:

if (event == "FLOW_DETACH" && Flow.l7proto== "DNS") {
    Flow.addApplication("Malformed DNS");
}

Kopieren

FLOW_RECORD

Ermöglicht das Aufzeichnen von Informationen über einen Fluss in bestimmten Intervallen. Nachher FLOW_CLASSIFY ist gelaufen, der FLOW_RECORD Die Ereignis findet jedes Jahr statt N Sekunden und immer dann, wenn sich ein Fluss schließt. Der Standardwert für N, das sogenannte Veröffentlichungsintervall, beträgt 30 Minuten; der Mindestwert beträgt 60 Sekunden. Sie können das Veröffentlichungsintervall in den Administrationseinstellungen festlegen.

FLOW_TICK

Ermöglicht das Aufzeichnen von Informationen über einen Fluss pro Datenmenge oder pro Spielzug. Das FLOW_TICK Die Ereignis findet an jedem statt FLOW_TURN oder alle 128 Pakete, je nachdem, was zuerst eintritt. Außerdem L2 Daten werden bei jedem zurückgesetzt FLOW_TICK Ereignis, mit dem Sie bei jedem Tick Daten zusammenfügen können. Wenn Sie den Durchsatz zählen, sammeln Sie Daten von FLOW_TICK Ereignisse, die vollständigere Metriken liefern als FLOW_TURN.

FLOW_TICK bietet eine Möglichkeit, in regelmäßigen Abständen nach bestimmten Bedingungen im Datenfluss zu suchen, z. B. Nullfenster und Nagle-Verzögerungen, und dann eine Aktion zu ergreifen, z. B. eine PCAP zu initiieren oder eine Syslog-Meldung zu senden.

Das Folgende ist ein Beispiel für FLOW_TICK:

log("RTT " + Flow.roundTripTime);
Remote.Syslog.info(
  " eh_event=FLOW_TICK" +
  " ClientIP="+Flow.client.ipaddr+
  " ServerIP="+Flow.server.ipaddr+
  " ServerPort="+Flow.server.port+
  " ServerName="+Flow.server.device.dnsNames[0]+
  " RTT="+Flow.roundTripTime);

Kopieren

FLOW_TURN

Läuft bei jedem TCP- oder UDP-Turn. Eine Kurve steht für einen vollen Zyklus eines Client Übertragung von Anforderungsdaten, gefolgt von einem Server, der eine Antwort überträgt.

FLOW_TURN entlarvt auch eine Turn Objekt.

Methoden

addApplication(name: Schnur , turnTiming: Boolesch ): Leere

Erstellt eine Anwendung mit dem angegebenen Namen und sammelt L2-L4-Metriken aus dem Fluss. Die Anwendung kann im ExtraHop-System angesehen werden und die Metriken werden auf einer L4-Seite in der Anwendung angezeigt. Ein Fluss kann zu einem bestimmten Zeitpunkt einer oder mehreren Anwendungen zugeordnet werden. Die von jeder Anwendung gesammelten L2-L4-Metriken sind dieselben.

Anrufen Flow.addApplication(name) auf einem FLOW_CLASSIFY Ereignis tritt häufig bei nicht unterstützten Protokollen auf. Für Datenflüsse auf unterstützten Protokollen mit L7 Ereignisse Auslöser, es wird empfohlen, den Application(name).commit() Methode, die einen größeren Satz von Protokollmetriken sammelt.

Das optionale turnTiming flag ist standardmäßig auf false gesetzt. Wenn der Wert auf „true" gesetzt ist, erfasst das ExtraHop-System zusätzliche Abbiege-Timing-Metriken für den Fluss. Wenn dieses Flag weggelassen wird, werden für die Anwendung keine Abbiegezeit-Metriken für den zugehörigen Fluss aufgezeichnet. Analysen zur Abbiegezeitanalyse L4 Verhalten , um L7-Verarbeitungszeiten abzuleiten, wenn das überwachte Protokoll einem Client-Anforderungs- und Server-Antwortmuster folgt und in dem der Client die erste Nachricht sendet. „Banner" -Protokolle (bei denen der Server die erste Nachricht sendet) und Protokolle, bei denen Daten gleichzeitig in beide Richtungen fließen, werden für die Abbiegezeitanalyse nicht empfohlen.

captureStart(name: Schnur , options: Objekt ): Schnur

Initiiert eine Precision Packet Capture (PPCAP) für den Fluss und gibt eine eindeutige Kennung der PCAP im Format einer Dezimalzahl als Zeichenfolge zurück. kehrt zurück null wenn die PCAP nicht gestartet werden kann.

name: Schnur

Der Name der Paketerfassungsdatei.

• Die maximale Länge beträgt 256 Zeichen
• Für jeden Fluss wird eine separate Erfassung erstellt.
• Erfassungsdateien mit demselben Namen werden durch Zeitstempel unterschieden.

options: Objekt

Die im Capture-Objekt enthaltenen Optionen. Lassen Sie eine der Optionen weg, um eine unbegrenzte Größe für diese Option anzugeben. Alle Optionen gelten für den gesamten Fluss, mit Ausnahme der „Lookback" -Optionen, die nur für den Teil des Fluss gelten, der vor dem Triggerereignis lag, das die PCAP gestartet hat.

maxBytes: Zahl

Die maximale Gesamtanzahl von Byte.

maxBytesLookback: Zahl

Die maximale Gesamtanzahl von Byte aus dem Lookback-Puffer. Der Lookback-Puffer bezieht sich auf Pakete, die vor dem Aufruf von erfasst wurden Flow.captureStart().

maxDurationMSec: Zahl

Die maximale Dauer der PCAP, ausgedrückt in Millisekunden.

maxPackets: Zahl

Die maximale Gesamtanzahl von Paketen. Der Maximalwert könnte überschritten werden , wenn Triggerlast ist schwer.

maxPacketsLookback: Zahl

Die maximale Anzahl von Paketen aus dem Lookback-Puffer. Der Lookback-Puffer bezieht sich auf Pakete, die vor dem Aufruf von erfasst wurden Flow.captureStart().

Das Folgende ist ein Beispiel für Flow.captureStart():

// EVENT: HTTP_REQUEST
// capture facebook HTTP traffic flows
if (HTTP.uri.indexOf("www.facebook.com") !== -1) {
   var name = "facebook-" + HTTP.uri;
   //packet capture options: capture 20 packets, up to 10 from the lookback buffer
   var opts = {
      maxPackets: 20,
      maxPacketsLookback: 10
   };
   Flow.captureStart(name, opts);
}

Kopieren

Hinweis:

Das Flow.captureStart() Für den Funktionsaufruf benötigen Sie eine Lizenz für die präzise PCAP. Sie können die Anzahl der Byte pro Paket (Snaplen) angeben, die Sie erfassen möchten, wenn Sie den Auslöser im ExtraHop-System konfigurieren. Diese Option ist nur bei einigen Veranstaltungen verfügbar. siehe Erweiterte Trigger-Optionen für weitere Informationen. Auf ExtraHop Performance-Systemen sind die erfassten Dateien in den Administrationseinstellungen verfügbar. Auf RevealX-Systemen sind erfasste Dateien auf der Seite Pakete im ExtraHop-System verfügbar. Wenn auf ExtraHop Performance-Systemen die Precision-Paketerfassungsdiskette voll ist, werden keine neuen Captures aufgezeichnet, bis der Benutzer die Dateien manuell löscht. Auf Reveal-Systemen werden ältere Paketerfassungen gelöscht, wenn die Precision PCAP Capture-Festplatte voll ist, damit das System weiterhin neue Paketerfassungen aufzeichnen kann. Die maximale Länge der Zeichenfolge für Dateinamen beträgt 256 Zeichen. Wenn der Name 256 Zeichen überschreitet, wird er gekürzt und eine Warnmeldung wird im Debug-Log angezeigt, aber der Auslöser wird weiterhin ausgeführt. Die Größe der Aufnahmedatei ist das Maximum, das zuerst erreicht wird zwischen maxPackets und maxBytes Optionen. Die Größe des Capture-Lookback-Puffers ist das Maximum, das zuerst erreicht wird zwischen den maxPacketsLookback und maxBytesLookback Optionen. Jeder hat bestanden max* Der Parameter wird bis zur nächsten Paketgrenze erfasst. Wenn die PCAP bereits im aktuellen Fluss gestartet wurde, Flow.captureStart() Aufrufe führen zu einer Warnung, die im Debug-Log sichtbar ist, aber der Auslöser wird weiterhin ausgeführt. Es gibt maximal 128 gleichzeitige Paketerfassungen im System. Wenn dieses Limit erreicht ist, werden nachfolgende Aufrufe an Flow.captureStart() generiert eine Warnung, die im Debug-Log sichtbar ist, aber der Auslöser wird weiterhin ausgeführt.

captureStop(): Boolesch

Stoppt eine PCAP, die im aktuellen Datenfluss ausgeführt wird.

commitRecord1(): Leere

Sendet einen Datensatz an den konfigurierten Recordstore, der Daten darstellt, die gesendet wurden von device1 in einer einzigen Strömungsrichtung.

Sie können diese Methode nur aufrufen FLOW_RECORD Ereignisse, und jeder eindeutige Datensatz wird für integrierte Datensätze nur einmal festgeschrieben.

Informationen zu den Eigenschaften, die dem Datensatzobjekt zugewiesen wurden, finden Sie in der record Eigentum unten.

commitRecord2(): Leere

Sendet einen Datensatz an den konfigurierten Recordstore, der Daten darstellt, die gesendet wurden von device2 in einer einzigen Strömungsrichtung.

Sie können diese Methode nur aufrufen FLOW_RECORD Ereignisse, und jeder eindeutige Datensatz wird für integrierte Datensätze nur einmal festgeschrieben.

Informationen zu den Eigenschaften, die dem Datensatzobjekt zugewiesen wurden, finden Sie in der record Eigentum unten.

findCustomDevice(deviceID: Schnur ): Gerät

Gibt eine einzelne zurück Device Objekt, das dem angegebenen DeviceID-Parameter entspricht, wenn sich das Gerät auf beiden Seiten des Fluss befindet. kehrt zurück null wenn kein entsprechendes Gerät gefunden wird.

getApplications(): Schnur

Ruft alle mit dem Fluss verknüpften Anwendungen ab.

Eigenschaften

Die in diesem Abschnitt erläuterten Eigenschaften und Methoden des Flow-Objekts sind für jeden verfügbar. L7 Auslöser ein mit dem Fluss verbundenes Ereignis aus.

Standardmäßig verwendet das ExtraHop-System eine lose initiierte Protokollklassifizierung, sodass es versucht, Datenflüsse auch nach dem Verbindungsaufbau zu klassifizieren. Die lose Initiierung kann für Ports deaktiviert werden, die nicht immer den Protokollverkehr übertragen (z. B. der Platzhalterport 0). Für solche Ströme device1, port1, und ipaddr1 das Gerät mit der numerisch niedrigeren IP-Adresse darstellen und device2, port2, und ipaddr2 stellen das Gerät mit der numerisch höheren IP-Adresse dar.

age: Zahl

Die seit der Initiierung des Fluss verstrichene Zeit, ausgedrückt in Sekunden.

bytes1: Zahl

Die Zahl der L4 Nutzdatenbytes, die von einem von zwei Geräten im Fluss übertragen werden; das andere Gerät wird dargestellt durch bytes2. Das Gerät, dargestellt durch bytes1 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK, FLOW_TURN, oder FLOW_RECORD Ereignisse; andernfalls tritt ein Fehler auf.

bytes2: Zahl

Die Zahl der L4 Nutzdatenbytes, die von einem von zwei Geräten im Fluss übertragen werden; das andere Gerät wird dargestellt durch bytes1. Das Gerät, dargestellt durch bytes2 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK, FLOW_TURN, oder FLOW_RECORD Ereignisse; andernfalls tritt ein Fehler auf.

customDevices1: Reihe

Eine Reihe von benutzerdefinierten Device Objekte in einem Fluss. Benutzerdefinierte Geräte auf der anderen Seite des Fluss sind verfügbar, indem Sie darauf zugreifen customDevices2. Das Gerät, dargestellt durch customDevices1 bleibt für den Fluss konsistent.

customDevices2: Reihe

Eine Reihe von benutzerdefinierten Device Objekte in einem Fluss. Benutzerdefinierte Geräte auf der anderen Seite des Fluss sind verfügbar, indem Sie darauf zugreifen customDevices1. Das Gerät, dargestellt durch customDevices2 bleibt für den Fluss konsistent.

device1: Gerät

Das Device Objekt, das einem von zwei Geräten im Fluss zugeordnet ist; das andere Gerät wird dargestellt durch device2. Das Gerät, dargestellt durch device1 bleibt für den Fluss konsistent. Zum Beispiel Flow.device1.hwaddr greift im Fluss auf die MAC-Adressen dieses Gerät zu.

equals: Boolesch

Führt einen Gleichheitstest durch zwischen Device Objekte.

device2: Gerät

Das Device Objekt, das einem von zwei Geräten im Fluss zugeordnet ist; das andere Gerät wird dargestellt durch device1. Das Gerät, dargestellt durch device2 bleibt für den Fluss konsistent. Zum Beispiel Flow.device2.hwaddr greift im Fluss auf die MAC-Adressen dieses Gerät zu.

equals: Boolesch

Führt einen Gleichheitstest durch zwischen Device Objekte.

dscp1: Zahl

Die Zahl, die den letzten Differentiated Services Code Point (DSCP) -Wert darstellt, der von einem von zwei Geräten im Fluss übertragen wurde; das andere Gerät wird dargestellt durch dscp2. Das Gerät, dargestellt durch dscp1 bleibt für den Fluss konsistent.

dscp2: Zahl

Die L-Nummer, die den letzten Differentiated Services Code Point (DSCP) -Wert darstellt, der von einem von zwei Geräten im Fluss übertragen wurde; das andere Gerät wird dargestellt durch dscp1. Das Gerät, dargestellt durch dscp2 bleibt für den Fluss konsistent.

dscpBytes1: Reihe

Ein Array, das die Anzahl von enthält L2 Byte für einen bestimmten Differentiated Services Code Point (DSCP) -Wert, der von einem von zwei Geräten im Fluss übertragen wird; das andere Gerät wird dargestellt durch dscpBytes2. Das Gerät, dargestellt durch dscpBytes1 bleibt für den Fluss konsistent.

Der Wert ist Null für jeden Eintrag, der seit dem letzten keine Byte des spezifischen DSCP enthält. FLOW_TICK Ereignis.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

dscpBytes2: Reihe

Ein Array, das die Anzahl von enthält L2 Byte für einen bestimmten Differentiated Services Code Point (DSCP) -Wert, der von einem von zwei Geräten im Fluss übertragen wird; das andere Gerät wird dargestellt durch dscpBytes1. Das Gerät, dargestellt durch dscpBytes2 bleibt für den Fluss konsistent.

Der Wert ist Null für jeden Eintrag, der seit dem letzten keine Byte des spezifischen DSCP enthält. FLOW_TICK Ereignis.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

dscpName1: Schnur

Der Name, der dem DSCP-Wert zugeordnet ist, der von einem von zwei Geräten im Fluss übertragen wird; das andere Gerät wird dargestellt durch dscpName2. Das Gerät, dargestellt durch dscpName1 bleibt für den Fluss konsistent.

Sehen Sie die dscpName Eigentum in der Endpunkte Abschnitt für eine Liste der unterstützten DSCP-Codenamen.

dscpName2: Schnur

Der Name, der dem DSCP-Wert zugeordnet ist, der von einem von zwei Geräten im Fluss übertragen wird; das andere Gerät wird dargestellt durch dscpName1. Das Gerät, dargestellt durch dscpName2 bleibt für den Fluss konsistent.

Sehen Sie die dscpName Eigentum in der Endpunkte Abschnitt für eine Liste der unterstützten DSCP-Codenamen.

dscpPkts1: Reihe

Ein Array, das die Anzahl von enthält L2 Pakete für einen bestimmten Differentiated Services Code Point (DSCP) -Wert, der von einem von zwei Geräten im Datenfluss übertragen wird; das andere Gerät wird dargestellt durch dscpPkts2. Das Gerät, dargestellt durch dscpPkts1 bleibt für den Fluss konsistent.

Der Wert ist Null für jeden Eintrag, der seit dem letzten keine Pakete des spezifischen DSCP enthält. FLOW_TICK Ereignis.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

dscpPkts2: Reihe

Ein Array, das die Anzahl von enthält L2 Pakete für einen bestimmten Differentiated Services Code Point (DSCP) -Wert, der von einem von zwei Geräten im Datenfluss übertragen wird; das andere Gerät wird dargestellt durch dscpPkts1. Das Gerät, dargestellt durch dscpPkts2 bleibt für den Fluss konsistent.

Der Wert ist Null für jeden Eintrag, der seit dem letzten keine Pakete des spezifischen DSCP enthält. FLOW_TICK Ereignis.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

fragPkts1: Zahl

Die Anzahl der Pakete, die aus der IP-Fragmentierung resultieren und von einem von zwei Geräten im Datenfluss übertragen werden; das andere Gerät wird dargestellt durch fragPkts2. Das Gerät, dargestellt durch fragPkts1 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

fragPkts2: Zahl

Die Anzahl der Pakete, die aus der IP-Fragmentierung resultieren und von einem von zwei Geräten im Datenfluss übertragen werden; das andere Gerät wird dargestellt durch fragPkts1. Das Gerät, dargestellt durch fragPkts2 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

id: Schnur

Die eindeutige Kennung eines Flow-Datensatzes.

ipaddr: IP Adresse

DasIPAddress Objekt, das einem Gerät im Fluss zugeordnet ist. Geben Sie die Geräterolle in der Syntax an, z. B. Flow.client.ipaddr oder Flow.receiver.ipaddr.

equals: Boolesch

Führt einen Gleichheitstest durch zwischen IPAddress Objekte.

ipproto: Schnur

Das mit dem Fluss verknüpfte IP-Protokoll, z. B. TCP oder UDP.

ipver: Schnur

Die dem Fluss zugeordnete IP-Version, z. B. IPv4 oder IPv6.

isAborted: Boolesch

Der Wert ist true wenn ein TCP-Flow durch einen TCP-Reset (RST) abgebrochen wurde. Der Fluss kann durch ein Gerät abgebrochen werden. Geben Sie gegebenenfalls die Geräterolle in der Syntax an, z. B. Flow.client.isAborted oder Flow.receiver.isAborted.

Dieser Zustand kann in der TCP_CLOSE Ereignis und in allen betroffenen L7 Ereignisse (zum Beispiel HTTP_REQUEST oder DB_RESPONSE).

Hinweis:

Ein L4 Ein Abbruch tritt auf, wenn eine TCP-Verbindung mit einem RST statt mit einem ordnungsgemäßen Herunterfahren geschlossen wird. Ein L7-Antwortabbruch tritt auf, wenn eine Verbindung während einer Antwort geschlossen wird. Dies kann an einem RST, einem ordnungsgemäßen FIN-Shutdown oder einem Ablauf liegen. Ein L7-Anforderungsabbruch erfolgt, wenn eine Verbindung mitten in einer Anfrage geschlossen wird. Dies kann auch an einem RST, einem ordnungsgemäßen FIN-Shutdown oder einem Ablauf liegen.

isExpired: Boolesch

Der Wert ist true wenn der Fluss zum Zeitpunkt des Ereignisses abgelaufen ist.

isShutdown: Boolesch

Der Wert ist true wenn das Gerät das Herunterfahren der TCP-Verbindung initiiert hat. Geben Sie die Geräterolle in der Syntax an, z. B. Flow.client.isShutdown oder Flow.receiver.isShutdown.

l2Bytes1: Zahl

Die Zahl der L2 Byte, einschließlich der Ethernet-Header, werden von einem von zwei Geräten im Datenfluss übertragen; das andere Gerät wird dargestellt durch l2Bytes2. Das Gerät, dargestellt durch l2Bytes1 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

l2Bytes2: Zahl

Die Zahl der L2 Byte, einschließlich der Ethernet-Header, werden von einem von zwei Geräten im Datenfluss übertragen; das andere Gerät wird dargestellt durch l2Bytes1. Das Gerät, dargestellt durch l2Bytes2 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

l7proto: Schnur

Das mit dem Fluss verknüpfte L7-Protokoll. Bei bekannten Protokollen gibt die Eigenschaft eine Zeichenfolge zurück, die den Protokollnamen darstellt, z. B. HTTP, DHCP, Memcache. Für weniger bekannte Protokolle gibt die Eigenschaft eine Zeichenfolge zurück, die formatiert ist als ipproto:port—tcp:13724 oder udp:11258 Für benutzerdefinierte Protokollnamen gibt die Eigenschaft eine Zeichenfolge zurück, die den Namen darstellt, der im Abschnitt Protokollklassifizierung in den Administrationseinstellungen festgelegt wurde.

Diese Eigenschaft ist nicht gültig während TCP_OPEN Ereignisse.

nagleDelay1: Zahl

Die Anzahl der Nagle-Verzögerungen, die einem von zwei Geräten im Fluss zugeordnet sind; das andere Gerät wird dargestellt durch nagleDelay2. Das Gerät, dargestellt durch nagleDelay1 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

nagleDelay2: Zahl

Die Anzahl der Nagle-Verzögerungen, die einem von zwei Geräten im Fluss zugeordnet sind; das andere Gerät wird dargestellt durch nagleDelay1. Das Gerät, dargestellt durch nagleDelay2 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

overlapFragPkts1: Zahl

Die Anzahl der nicht identischen IP-Fragmentpakete, die von einem von zwei Geräten im Fluss übertragen werden; das andere Gerät wird dargestellt durch overlapFragPkts2. Das Gerät, dargestellt durch overlapFragPkts1 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

overlapFragPkts2: Zahl

Die Anzahl der nicht identischen IP-Fragmentpakete, die von einem von zwei Geräten im Fluss übertragen werden; das andere Gerät wird dargestellt durch overlapFragPkts1. Das Gerät, dargestellt durch overlapFragPkts2 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

overlapSegments1: Zahl

Die Anzahl der nicht identischen TCP-Segmente, bei denen zwei oder mehr Segmente Daten für denselben Teil des Fluss enthalten. Die TCP-Segmente werden von einem von zwei Geräten im Fluss übertragen; das andere Gerät wird dargestellt durch overlapSegments2. Das Gerät, dargestellt durch overlapSegments1 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

overlapSegments2: Zahl

Die Anzahl der nicht identischen TCP-Segmente, bei denen zwei oder mehr Segmente Daten für denselben Teil des Fluss enthalten. Die TCP-Segmente werden von einem von zwei Geräten im Fluss übertragen; das andere Gerät wird dargestellt durch overlapSegments1. Das Gerät, dargestellt durch overlapSegments2 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

payload1: Puffer

Die Nutzlast Puffer einem von zwei Geräten im Fluss zugeordnet; das andere Gerät wird dargestellt durch payload2. Das Gerät, dargestellt durch payload1 bleibt für den Fluss konsistent.

Zugriff nur auf TCP_PAYLOAD, UDP_PAYLOAD, und SSL_PAYLOAD Ereignisse; andernfalls tritt ein Fehler auf.

payload2: Puffer

Die Nutzlast Puffer einem von zwei Geräten im Fluss zugeordnet; das andere Gerät wird dargestellt durch payload1. Das Gerät, dargestellt durch payload2 bleibt für den Fluss konsistent.

Zugriff nur auf TCP_PAYLOAD, UDP_PAYLOAD, oder SSL_PAYLOAD Ereignisse; andernfalls tritt ein Fehler auf.

pkts1: Zahl

Die Anzahl der Pakete, die von einem von zwei Geräten im Datenfluss übertragen werden; das andere Gerät wird dargestellt durch pkts2. Das Gerät, dargestellt durch pkts1 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK, FLOW_TURN, oder FLOW_RECORD Ereignisse; andernfalls tritt ein Fehler auf.

pkts2: Zahl

Die Anzahl der Pakete, die von einem von zwei Geräten im Datenfluss übertragen werden; das andere Gerät wird dargestellt durch pkts1. Das Gerät, dargestellt durch pkts2 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK, FLOW_TURN, oder FLOW_RECORD Ereignisse; andernfalls tritt ein Fehler auf.

port1: Zahl

Die Portnummer, die einem von zwei Geräten in einem Fluss zugeordnet ist; das andere Gerät wird dargestellt durch port2. Das Gerät, dargestellt durch port1 bleibt für den Fluss konsistent.

port2: Zahl

Die Portnummer, die einem von zwei Geräten in einem Fluss zugeordnet ist; das andere Gerät wird dargestellt durch port1. Das Gerät, dargestellt durch port2 bleibt für den Fluss konsistent.

rcvWndThrottle1: Zahl

Die Anzahl der Empfangsfensterdrosseln, die von einem von zwei Geräten im Fluss gesendet wurden; das andere Gerät wird dargestellt durch rcvWndThrottle2. Das Gerät, dargestellt durch rcvWndThrottle1 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

rcvWndThrottle2: Zahl

Die Anzahl der Empfangsfensterdrosseln, die von einem von zwei Geräten im Fluss gesendet wurden; das andere Gerät wird dargestellt durch rcvWndThrottle1. Das Gerät, dargestellt durch rcvWndThrottle2 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

record1: Objekt

Das Datensatzobjekt, das durch einen Aufruf von an den konfigurierten Recordstore gesendet werden kann Flow.commitRecord1() auf einem FLOW_RECORD Ereignis.

Das Objekt stellt den Verkehr dar, der von einem von zwei Geräten im Datenfluss in eine einzige Richtung gesendet wird. Das andere Gerät wird durch das record2 Eigentum. Das Gerät, dargestellt durch den record1 Die Eigenschaft bleibt für den Fluss konstant.

Greifen Sie nur auf das Datensatzobjekt zu FLOW_RECORD Ereignisse; andernfalls tritt ein Fehler auf.

Das Standard-Datensatzobjekt kann die folgenden Eigenschaften enthalten:

• age
• bytes (L3)
• clientIsExternal
• dscpName
• first
• last
• pkts
• proto
• receiverAddr
• receiverIsExternal
• receiverPort
• roundTripTime

  Die letzte Hin- und Rückflugzeit (RTT) in diesem Fluss. Ein RTT ist die Zeit, die ein Gerät benötigt hat, um ein Paket zu senden und eine sofortige Bestätigung (ACK) zu empfangen.

• senderAddr
• senderIsExternal
• senderPort
• serverIsExternal
• tcpOrigin

  Dieses Datensatzfeld ist nur enthalten, wenn der Datensatz den von einem Client oder Absendergerät gesendeten Verkehr darstellt.

• tcpFlags

record2: Objekt

Das Datensatzobjekt, das durch einen Aufruf von an den konfigurierten Recordstore gesendet werden kann Flow.commitRecord2() auf einem FLOW_RECORD Ereignis.

Das Objekt stellt den Verkehr dar, der von einem von zwei Geräten im Datenfluss in eine einzige Richtung gesendet wird. Das andere Gerät wird durch das record1 Eigentum. Das Gerät, dargestellt durch den record2 Die Eigenschaft bleibt für den Fluss konstant.

Greifen Sie nur auf das Datensatzobjekt zu FLOW_RECORD Ereignisse; andernfalls tritt ein Fehler auf.

Das Standard-Datensatzobjekt kann die folgenden Eigenschaften enthalten:

• age
• bytes (L3)
• clientIsExternal
• dscpName
• first
• last
• pkts
• proto
• receiverAddr
• receiverIsExternal
• receiverPort
• roundTripTime

  Die letzte Hin- und Rückflugzeit (RTT) in diesem Fluss. Ein RTT ist die Zeit, die ein Gerät benötigt hat, um ein Paket zu senden und eine sofortige Bestätigung (ACK) zu empfangen.

• senderAddr
• senderIsExternal
• senderPort
• serverIsExternal
• tcpOrigin

  Dieses Datensatzfeld ist nur enthalten, wenn der Datensatz den von einem Client oder Absendergerät gesendeten Verkehr darstellt.

• tcpFlags

roundTripTime: Zahl

Die mittlere Roundtrip-Zeit (RTT) für die Dauer des Ereignis, ausgedrückt in Millisekunden. Der Wert ist NaN wenn es keine RTT-Samples gibt.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

rto1: Zahl

Die Zahl der Zeitüberschreitungen bei der erneuten Übertragung (RTOs), das einem von zwei Geräten im Fluss zugeordnet ist; das andere Gerät wird dargestellt durch rto2. Das Gerät, dargestellt durch rto1 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

rto2: Zahl

Die Zahl der Zeitüberschreitungen bei der erneuten Übertragung (RTOs), das einem von zwei Geräten im Fluss zugeordnet ist; das andere Gerät wird dargestellt durch rto1. Das Gerät, dargestellt durch rto2 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

store: Objekt

Der Flow-Speicher ist so konzipiert, dass er Objekte im selben Flow von der Anfrage zur Antwort weiterleitet. Das store object ist eine Instanz eines leeren JavaScript-Objekts. Objekte können als Eigenschaften an den Speicher angehängt werden, indem der Eigenschaftsschlüssel und der Eigenschaftswert definiert werden. Zum Beispiel:

Flow.store.myobject = "myvalue";

Kopieren

Für Ereignisse , die im selben Fluss auftreten, können Sie den Flow-Store anstelle der Sitzungstabelle verwenden , um Informationen gemeinsam zu nutzen. Zum Beispiel:

// request 
Flow.store.userAgent = HTTP.userAgent;  

// response 
var userAgent = Flow.store.userAgent;

Kopieren

Wichtig:

Die Werte Fluss Flow-Speichers bleiben für alle Anfragen und Antworten bestehen, die in diesem Flow ausgeführt werden. Bei der Arbeit mit dem Flow-Store empfiehlt es sich, die Flow-Store-Variable auf zu setzen null wenn sein Wert nicht an die nächste Anfrage oder Antwort weitergegeben werden soll. Diese Vorgehensweise hat den zusätzlichen Vorteil, dass der Flow-Store-Speicher geschont wird.

Die meisten Fluss Store-Trigger sollten eine ähnliche Struktur wie das folgende Beispiel haben:

if (event === 'DB_REQUEST') {
                 if (DB.statement) {
                 Flow.store.stmt = DB.statement; 
} else {
                 Flow.store.stmt = null; 
} 
} 
else if (event === 'DB_RESPONSE') {
        var stmt = Flow.store.stmt;
        Flow.store.stmt = null;
        if (stmt) {
                 // Do something with 'stmt';   
                 // for example, commit a metric  
        } 
}

Kopieren

Hinweis:

Da DHCP-Anfragen häufig in anderen Abläufen als die entsprechenden DHCP-Antworten erfolgen, empfehlen wir, DHCP-Anforderungs- und Antwortinformationen zu kombinieren, indem Sie DHCP-Transaktions-IDs in der Sitzungstabelle speichern. Beispielsweise erstellt der folgende Triggercode eine Metrik, die verfolgt, wie viele DHCP-Discover-Nachrichten eine entsprechende DHCP-Angebotsnachricht erhalten haben: if (event === 'DHCP_REQUEST'){ var opts = { expire: 30 }; Session.add(DHCP.txId.toString(), DHCP.msgType, opts); } else if (event === 'DHCP_RESPONSE'){ var reqMsgType = Session.lookup(DHCP.txId.toString()); if (reqMsgType && DHCP.msgType === 'DHCPOFFER') { Device.metricAddCount('dhcp-discover-offer', 1); } } Kopieren

tcpOrigin: IP-Adresse | Null

Die ursprüngliche IP-Adresse des Client oder Absenders, wenn sie von einem Netzwerk-Proxy in TCP-Option 28 angegeben wurde.

vlan: Zahl

Die dem Fluss zugeordnete VLAN-Nummer. Wenn kein VLAN-Tag vorhanden ist, wird dieser Wert auf gesetzt 0.

vxlanVNI: Zahl

Die dem Fluss zugeordnete VXLAN-Netzwerkkennnummer. Wenn kein VXLAN-Tag vorhanden ist, wird dieser Wert auf gesetzt NaN .

zeroWnd1: Zahl

Die Anzahl der Nullfenster, die einem von zwei Geräten im Fluss zugeordnet sind; das andere Gerät wird dargestellt durch zeroWnd2. Das Gerät, dargestellt durch zeroWnd1 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

zeroWnd2: Zahl

Die Anzahl der Nullfenster, die einem von zwei Geräten im Fluss zugeordnet sind; das andere Gerät wird dargestellt durch zeroWnd1. Das Gerät, dargestellt durch zeroWnd2 bleibt für den Fluss konsistent.

Zugriff nur auf FLOW_TICK oder FLOW_TURN Ereignisse; andernfalls tritt ein Fehler auf.

Beispiele für Trigger

• Beispiel: SMB-Aktionen auf Geräten überwachen
• Beispiel: HTTP-Antworten auf 500-Ebene nach Kunden-ID und URI verfolgen
• Beispiel: Analysieren von benutzerdefinierten PoS-Nachrichten mit universeller Nutzlastanalyse
• Beispiel: Syslog über TCP mit universeller Nutzlastanalyse analysieren
• Beispiel: NTP mit universeller Nutzlastanalyse analysieren
• Beispiel: SOAP-Anfragen verfolgen

Methoden

FlowInterface(id: Schnur )

Ein Konstruktor für das FlowInterface-Objekt, der eine Flow-Schnittstellen-ID akzeptiert. Ein Fehler tritt auf, wenn die Flow-Interface-ID auf dem ExtraHop-System nicht existiert.

Instanzmethoden

Mit den Methoden in diesem Abschnitt können Sie benutzerdefinierte Metriken auf einer Flussschnittstelle erstellen. Die Methoden sind nur auf Instanzen von vorhanden NetFlow Klasse. Die folgende Anweisung sammelt beispielsweise Metriken aus dem NetFlow-Verkehr auf der Eingangsschnittstelle:

NetFlow.ingressInterface.metricAddCount("slow_rsp", 1);

Sie können die FlowInterface-Methode jedoch als statische Methode aufrufen NETFLOW_RECORD Ereignisse. Die folgende Anweisung sammelt beispielsweise Metriken aus dem NetFlow-Verkehr sowohl auf der Eingangs- als auch auf der Ausgangsschnittstelle:

FlowInterface.metricAddCount("slow_rsp", 1);

metricAddCount(metric_name: Schnur , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Metrik zählen. Übergibt die Metrikdaten an die angegebene Flussschnittstelle.

metric_name: Schnur

Der Name der Metrik für die Zählung der obersten Ebene.

count: Zahl

Der Inkrementwert. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. Ein NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgende Eigenschaft enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailCount(metric_name: Schnur , key: Schnur | IP-Adresse , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Metrik zählen anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an die angegebene Flussschnittstelle.

metric_name: Schnur

Der Name der Metrik für die Detailzählung.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

count: Zahl

Der Inkrementwert. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. Ein NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgende Eigenschaft enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDataset(metric_name: Schnur , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Datensatz-Metrik. Übergibt die Metrikdaten an die angegebene Flussschnittstelle.

metric_name: Schnur

Der Name der Datensatzmetrik der obersten Ebene.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

freq: Zahl

Eine Option, die es Ihnen ermöglicht, mehrere Vorkommen bestimmter Werte im Datensatz gleichzeitig aufzuzeichnen, wenn sie auf die Anzahl von Vorkommen gesetzt ist, die durch val Parameter. Wenn kein Wert angegeben ist, ist der Standardwert 1.

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailDataset(metric_name: Schnur , key: Schnur | IP-Adresse , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Datensatz-Metrik anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an die angegebene Flussschnittstelle.

metric_name: Schnur

Der Name der Metrik für die Detailzählung.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

freq: Zahl

Eine Option, die es Ihnen ermöglicht, mehrere Vorkommen bestimmter Werte im Datensatz gleichzeitig aufzuzeichnen, wenn sie auf die Anzahl von Vorkommen gesetzt ist, die durch val Parameter. Wenn kein Wert angegeben ist, ist der Standardwert 1.

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDistinct(metric_name: Schnur , item: Zahl | Schnur | IP-Adresse :void

Erstellt ein benutzerdefiniertes oberste Ebene unterschiedliche Zählmetrik. Übergibt die Metrikdaten an die angegebene Flussschnittstelle.

metric_name: Schnur

Der Name der Metrik für die eindeutige Anzahl auf oberster Ebene.

item: Zahl | Schnur | IP-Adresse

Der Wert, der in das Set aufgenommen werden soll. Der Wert wird in eine Zeichenfolge umgewandelt, bevor er in den Satz aufgenommen wird.

metricAddDetailDistinct(metric_name: Schnur , key: Schnur | IP-Adresse , item: Zahl | Schnur | IP-Adresse :void

Erstellt ein benutzerdefiniertes Detail unterschiedliche Zählmetrik anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an die angegebene Flussschnittstelle.

metric_name: Schnur

Der Name der detaillierten Metrik für unterschiedliche Zählungen.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

item: Zahl | Schnur | IP-Adresse

Der Wert, der in das Set aufgenommen werden soll. Der Wert wird in eine Zeichenfolge umgewandelt, bevor er in den Satz aufgenommen wird.

metricAddMax(metric_name: Schnur , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene maximale Metrik. Übergibt die Metrikdaten an die angegebene Flussschnittstelle.

metric_name: Schnur

Der Name der maximalen Metrik der obersten Ebene.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailMax(metric_name: Schnur , key: Schnur | IP-Adresse , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail maximale Metrik anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an die angegebene Flussschnittstelle.

metric_name: Schnur

Der Name der maximalen Detailmetrik.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddSampleset(metric_name: Schnur , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Stichprobensatz, Metrik. Übergibt die Metrikdaten an die angegebene Flussschnittstelle.

metric_name: Schnur

Der Name der Sampleset-Metrik der obersten Ebene.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailSampleset(metric_name: Schnur , key: Schnur | IP-Adresse , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Stichprobensatz, Metrik anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an die angegebene Flussschnittstelle.

metric_name: Schnur

Der Name der Detail-Sampleset-Metrik.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddSnap(metric_name: Schnur , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Snapshot-Metrik. Übergibt die Metrikdaten an die angegebene Flussschnittstelle.

metric_name: Schnur

Der Name der Snapshot-Metrik der obersten Ebene.

count: Zahl

Der beobachtete Wert, z. B. aktuell hergestellte Verbindungen. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailSnap(metric_name: Schnur , key: Schnur | IP-Adresse , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Snapshot-Metrik anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an die angegebene Flussschnittstelle.

metric_name: Schnur

Der Name der Detail-Sampleset-Metrik.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

count: Zahl

Der beobachtete Wert, z. B. aktuell hergestellte Verbindungen. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

Instanzeigenschaften

id: Schnur

Eine Zeichenfolge, die das Flussschnittstelle eindeutig identifiziert.

number: Zahl

Die vom NetFlow-Datensatz gemeldete Flow-Schnittstellennummer.

Methoden

FlowNetwork(id: Schnur )

Ein Konstruktor für das FlowNetwork-Objekt, der eine Flow-Netzwerk-ID akzeptiert. Ein Fehler tritt auf, wenn die Flow-Netzwerk-ID auf dem ExtraHop-System nicht existiert.

Instanzmethoden

Mit den Methoden in diesem Abschnitt können Sie benutzerdefinierte Metriken in einem Flussnetz erstellen. Die Methoden sind nur auf Instanzen von vorhanden NetFlow Klasse. Die folgende Anweisung sammelt beispielsweise Metriken aus dem NetFlow-Verkehr in einem einzelnen Netzwerk:

NetFlow.network.metricAddCount("slow_rsp", 1);

Sie können die FlowNetwork-Methode jedoch als statische Methode aufrufen NETFLOW_RECORD Ereignisse. Die folgende Anweisung sammelt beispielsweise Metriken aus dem NetFlow-Verkehr auf beiden Geräten im Flussnetz:

FlowNetwork.metricAddCount("slow_rsp", 1);

metricAddCount(metric_name: Schnur , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Metrik zählen. Überträgt die Metrik Daten in das angegebene Flussnetz.

metric_name: Schnur

Der Name der Metrik für die Zählung der obersten Ebene.

count: Zahl

Der Inkrementwert. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. Ein NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgende Eigenschaft enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailCount(metric_name: Schnur , key: Schnur | IP-Adresse , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Metrik zählen anhand derer Sie einen Drilldown durchführen können. Überträgt die Metrik Daten in das angegebene Flussnetz.

metric_name: Schnur

Der Name der Metrik für die Detailzählung.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

count: Zahl

Der Inkrementwert. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. Ein NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgende Eigenschaft enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDataset(metric_name: Schnur , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Datensatz-Metrik. Überträgt die Metrik Daten in das angegebene Flussnetz.

metric_name: Schnur

Der Name der Datensatzmetrik der obersten Ebene.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

freq: Zahl

Eine Option, die es Ihnen ermöglicht, mehrere Vorkommen bestimmter Werte im Datensatz gleichzeitig aufzuzeichnen, wenn sie auf die Anzahl von Vorkommen gesetzt ist, die durch val Parameter. Wenn kein Wert angegeben ist, ist der Standardwert 1.

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailDataset(metric_name: Schnur , key: Schnur | IP-Adresse , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Datensatz-Metrik anhand derer Sie einen Drilldown durchführen können. Überträgt die Metrik Daten in das angegebene Flussnetz.

metric_name: Schnur

Der Name der Metrik für die Detailzählung.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

freq: Zahl

Eine Option, die es Ihnen ermöglicht, mehrere Vorkommen bestimmter Werte im Datensatz gleichzeitig aufzuzeichnen, wenn sie auf die Anzahl von Vorkommen gesetzt ist, die durch val Parameter. Wenn kein Wert angegeben ist, ist der Standardwert 1.

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDistinct(metric_name: Schnur , item: Zahl | Schnur | IP-Adresse :void

Erstellt ein benutzerdefiniertes oberste Ebene unterschiedliche Zählmetrik. Überträgt die Metrik Daten in das angegebene Flussnetz.

metric_name: Schnur

Der Name der Metrik für die eindeutige Anzahl auf oberster Ebene.

item: Zahl | Schnur | IP-Adresse

Der Wert, der in das Set aufgenommen werden soll. Der Wert wird in eine Zeichenfolge umgewandelt, bevor er in den Satz aufgenommen wird.

metricAddDetailDistinct(metric_name: Schnur , key: Schnur | IP-Adresse , item: Zahl | Schnur | IP-Adresse :void

Erstellt ein benutzerdefiniertes Detail unterschiedliche Zählmetrik anhand derer Sie einen Drilldown durchführen können. Überträgt die Metrik Daten in das angegebene Flussnetz.

metric_name: Schnur

Der Name der detaillierten Metrik für unterschiedliche Zählungen.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

item: Zahl | Schnur | IP-Adresse

Der Wert, der in das Set aufgenommen werden soll. Der Wert wird in eine Zeichenfolge umgewandelt, bevor er in den Satz aufgenommen wird.

metricAddMax(metric_name: Schnur , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene maximale Metrik. Überträgt die Metrik Daten in das angegebene Flussnetz.

metric_name: Schnur

Der Name der maximalen Metrik der obersten Ebene.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailMax(metric_name: Schnur , key: Schnur | IP-Adresse , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail maximale Metrik anhand derer Sie einen Drilldown durchführen können. Überträgt die Metrik Daten in das angegebene Flussnetz.

metric_name: Schnur

Der Name der maximalen Detailmetrik.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddSampleset(metric_name: Schnur , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Stichprobensatz, Metrik. Überträgt die Metrik Daten in das angegebene Flussnetz.

metric_name: Schnur

Der Name der Sampleset-Metrik der obersten Ebene.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailSampleset(metric_name: Schnur , key: Schnur | IP-Adresse , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Stichprobensatz, Metrik anhand derer Sie einen Drilldown durchführen können. Überträgt die Metrik Daten in das angegebene Flussnetz.

metric_name: Schnur

Der Name der Detail-Sampleset-Metrik.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddSnap(metric_name: Schnur , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Snapshot-Metrik. Überträgt die Metrik Daten in das angegebene Flussnetz.

metric_name: Schnur

Der Name der Snapshot-Metrik der obersten Ebene.

count: Zahl

Der beobachtete Wert, z. B. aktuell hergestellte Verbindungen. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailSnap(metric_name: Schnur , key: Schnur | IP-Adresse , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Snapshot-Metrik anhand derer Sie einen Drilldown durchführen können. Überträgt die Metrik Daten in das angegebene Flussnetz.

metric_name: Schnur

Der Name der Detail-Sampleset-Metrik.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

count: Zahl

Der beobachtete Wert, z. B. aktuell hergestellte Verbindungen. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

Instanzeigenschaften

id: Schnur

Eine Zeichenfolge, die das Flussnetz eindeutig identifiziert.

ipaddr: IP-Adresse

Die IP-Adresse der Verwaltungsschnittstelle im Flussnetz.

Methoden

Die von GeoIP-Methoden zurückgegebenen Werte stammen aus dem MaxMind GeoLite2 Länder- oder Stadtdatenbanken sofern nicht anders konfiguriert durch die Geomap-Datenquelle Einstellungen in den Administrationseinstellungen.

In den Einstellungen für die Geomap-Datenquelle können Sie benutzerdefinierte Datenbanken hochladen und angeben, auf welche Datenbank bei Suchen nach Städten oder Ländern standardmäßig verwiesen werden soll.

Wir empfehlen, nur eine benutzerdefinierte Datenbank auf Stadtebene hochzuladen, wenn Sie beide aufrufen möchten GeoIP.getCountry() und GeoIP.getPreciseLocation() Methoden in Triggern. Wenn beide Typen von benutzerdefinierten Datenbanken hochgeladen werden, ruft das ExtraHop-System Werte für beide Methoden aus der Datenbank auf Stadtebene ab und ignoriert die Datenbank auf Landesebene, die als Teilmenge der Datenbank auf Stadtebene betrachtet wird.

getCountry(ipaddr: IP-Addresse ): Objekt

Gibt Details auf Länderebene für das angegebene Objekt zurück IPAddress in einem Objekt, das die folgenden Felder enthält:

continentName: Zeichenfolge

Der Name des Kontinents, wie Europe, das dem Land zugeordnet ist, aus dem die angegebene IP-Adresse stammt. Der Wert ist der gleiche wie continentName von der zurückgegebenes Feld getPreciseLocation() Methode.

continentCode: Zahl

Der Code des Kontinents, wie EU, das ist verknüpft mit dem Wert von countryCode Feld, gemäß ISO 3166. Der Wert ist der gleiche wie continentCode von der zurückgegebenes Feld getPreciseLocation() Methode.

countryName: Zeichenfolge

Der Name des Landes, aus dem die angegebene IP-Adresse stammt, wie United States. Der Wert ist der gleiche wie countryName von der zurückgegebenes Feld getPreciseLocation() Methode.

countryCode: Zeichenfolge

Der dem Land zugeordnete Code gemäß ISO 3166, z. B. US. Der Wert ist der gleiche wie countryCode Feld, das von der zurückgegeben wird getPreciseLocation() Methode.

kehrt zurück null in jedem Feld, für das keine Daten verfügbar sind, oder gibt einen zurück null Objekt, wenn alle Felddaten nicht verfügbar sind.

Hinweis:

Das getCountry() Die Methode benötigt insgesamt 20 MB RAM auf dem ExtraHop-System, was sich auf die Systemleistung auswirken kann. Wenn diese Methode zum ersten Mal in einem Auslöser aufgerufen wird, reserviert das ExtraHop-System die erforderliche Menge an RAM, es sei denn getPreciseLocation() Methode wurde bereits aufgerufen. Das getPreciseLocation() Die Methode benötigt 100 MB RAM, sodass bereits ausreichend RAM verfügbar ist, um die getCountry() Methode. Die benötigte RAM-Menge ist nicht pro Auslöser oder pro Methodenaufruf; das ExtraHop-System reserviert die benötigte RAM-Menge nur einmal.

Im folgenden Codebeispiel ist der getCountry() Die Methode wird bei jedem angegebenen Ereignis aufgerufen und ruft ungefähre Standortdaten für jede Client-IP-Adresse ab:

// ignore if the IP address is non-routable
if (Flow.client.ipaddr.isRFC1918) return;
var results=GeoIP.getCountry(Flow.client.ipaddr);
if (results) {
    countryCode=results.countryCode;
    // log the 2-letter country code of each IP address 
    debug ("Country Code is " + results.countryCode);
}

Kopieren

getPreciseLocation(ipaddr: IP-Addresse ): Objekt

Gibt Details auf Stadtebene für das angegebene Objekt zurück IPAddress in einem Objekt, das die folgenden Felder enthält:

continentName: Zeichenfolge

Der Name des Kontinents, wie Europe, das dem Land zugeordnet ist, aus dem die angegebene IP-Adresse stammt. Der Wert ist der gleiche wie continentName von der zurückgegebenes Feld getCountry() Methode.

continentCode: Zahl

Der Code des Kontinents, wie EU, das ist verknüpft mit dem Wert von countryCode Feld, gemäß ISO 3166. Der Wert ist der gleiche wie continentCode von der zurückgegebenes Feld getCountry() Methode.

countryName: Zeichenfolge

Der Name des Landes, aus dem die angegebene IP-Adresse stammt, wie United States. Der Wert ist der gleiche wie countryName Feld, das von der zurückgegeben wird getCountry() Methode.

countryCode: Zeichenfolge

Der dem Land zugeordnete Code gemäß ISO 3166, z. B. US. Der Wert ist der gleiche wie countryCode Feld, das von der zurückgegeben wird getCountry() Methode.

region: Zeichenfolge

Die Region, z. B. ein Bundesstaat oder eine Provinz, wie Washington.

city: Zeichenfolge

Die Stadt, aus der die IP-Adresse stammt, wie Seattle.

latitude: Zahl

Der Breitengrad des IP-Adressstandorts.

longitude: Zahl

Der Längengrad des Standorts der IP-Adresse.

radius: Zahl

Der Radius, ausgedrückt in Kilometern, um die Längen- und Breitengradkoordinaten des IP-Adressstandorts.

kehrt zurück null in jedem Feld, für das keine Daten verfügbar sind, oder gibt einen zurück null Objekt, wenn alle Felddaten nicht verfügbar sind.

Hinweis:

Das getPreciseLocation() Die Methode benötigt 100 MB Gesamt-RAM auf dem ExtraHop-System, was sich auf die Systemleistung auswirken kann. Wenn diese Methode zum ersten Mal in einem Auslöser aufgerufen wird, reserviert das ExtraHop-System die erforderliche Menge an RAM, es sei denn getCountry() Methode wurde bereits aufgerufen. Das getCountry() Die Methode benötigt 20 MB RAM, sodass das ExtraHop-System zusätzliche 80 MB RAM reserviert. Die benötigte RAM-Menge ist nicht pro Auslöser oder pro Methodenaufruf; das ExtraHop-System reserviert die benötigte RAM-Menge nur einmal.

Methoden

IPAddress(ip: Schnur | Zahl , mask: Zahl )

Konstruktor für die Klasse IPAddress, der zwei Parameter akzeptiert:

ip: Schnur

Die IP-Adresszeichenfolge im CIDR-Format.

mask: Zahl

Die optionale Subnetzmaske in einem numerischen Format, die die Anzahl der „1" -Bits ganz links in der Maske darstellt (optional).

Instanzmethoden

equals(equals: IP-Adresse ): Boolesch

Führt einen Gleichheitstest zwischen IPAddress-Objekten durch, wie im folgenden Beispiel gezeigt:

if (Flow.client.ipaddr.toString() === "10.10.10.10")
{ // perform a task }

Kopieren

mask(mask: Zahl ): IP-Adresse

Legt die Subnetzmaske des IPAddress-Objekts fest, wie im folgenden Beispiel gezeigt:

if ((Flow.ipaddr1.mask(24).toString() === "173.194.33.0")||
(Flow.ipaddr2.mask(24).toString() === "173.194.33.0"))
{Flow.setApplication("My L4 App");}

Kopieren

Das mask Der Parameter gibt die Subnetzmaske in einem numerischen Format an und stellt die Anzahl der „1" -Bits ganz links in der Maske dar (optional).

toJSON(): Schnur

Konvertiert das IPAddress-Objekt in das JSON-Format.

toString(): Schnur

Konvertiert das IPAddress-Objekt in eine druckbare Zeichenfolge.

Eigenschaften

hostNames: Reihe von Zeichenketten

Ein Array von Hostnamen, die der IP-Adresse zugeordnet sind.

isBroadcast: Boolesch

Der Wert ist true wenn die IP-Adresse eine Broadcast-Adresse ist.

isExternal: Boolesch

Der Wert ist true wenn die IP-Adresse außerhalb Ihres Netzwerk liegt.

isLinkLocal: Boolesch

Der Wert ist true wenn es sich bei der IP-Adresse um eine lokale Linkadresse wie (169.254.0.0/16) handelt.

isMulticast: Boolesch

Der Wert ist true wenn die IP-Adresse eine Multicast-Adresse ist.

isRFC1918: Boolesch

Der Wert ist true wenn die IP-Adresse zu einem der privaten IP-Bereiche von RFC1918 gehört (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16). Der Wert ist immer false für IPv6-Adressen.

isV4: Boolesch

Der Wert ist true wenn die IP-Adresse eine IPv4-Adresse ist.

isV6: Boolesch

Der Wert ist true wenn die IP-Adresse eine IPv6-Adresse ist.

localityName: Schnur | null

Der Name der Netzwerklokalität, in der sich die IP-Adresse befindet. Wenn sich die IP-Adresse in keiner Netzwerklokalität befindet, ist der Wert Null.

Methoden

metricAddCount(metric_name: Schnur , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Metrik zählen. Übergibt die Metrikdaten an das angegebene Netzwerk.

metric_name: Schnur

Der Name der Metrik für die Zählung der obersten Ebene.

count: Zahl

Der Inkrementwert. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. Ein NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgende Eigenschaft enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailCount(metric_name: Schnur , key: Schnur | IP-Adresse , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Metrik zählen anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an das angegebene Netzwerk.

metric_name: Schnur

Der Name der Metrik für die Detailanzahl.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

count: Zahl

Der Inkrementwert. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. Ein NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgende Eigenschaft enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDataset(metric_name: Schnur , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Datensatz-Metrik. Übergibt die Metrikdaten an das angegebene Netzwerk.

metric_name: Schnur

Der Name der Datensatzmetrik der obersten Ebene.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

freq: Zahl

Eine Option, mit der Sie mehrere Vorkommen bestimmter Werte im Datensatz gleichzeitig aufzeichnen können, wenn sie auf die Anzahl von Vorkommen gesetzt ist, die durch die val Parameter. Wenn kein Wert angegeben ist, ist der Standardwert 1.

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailDataset(metric_name: Schnur , key: Schnur | IP-Adresse , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Datensatz-Metrik anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an das angegebene Netzwerk.

metric_name: Schnur

Der Name der Metrik für die Detailanzahl.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

freq: Zahl

Eine Option, mit der Sie mehrere Vorkommen bestimmter Werte im Datensatz gleichzeitig aufzeichnen können, wenn sie auf die Anzahl von Vorkommen gesetzt ist, die durch die val Parameter. Wenn kein Wert angegeben ist, ist der Standardwert 1.

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDistinct(metric_name: Schnur , item: Zahl | Schnur | IP-Adresse :void

Erstellt ein benutzerdefiniertes oberste Ebene unterschiedliche Zählmetrik. Übergibt die Metrikdaten an das angegebene Netzwerk.

metric_name: Schnur

Der Name der Metrik für die eindeutige Anzahl auf oberster Ebene.

item: Zahl | Schnur | IP-Adresse

Der Wert, der in das Set aufgenommen werden soll. Der Wert wird in eine Zeichenfolge umgewandelt, bevor er in den Satz aufgenommen wird.

MetricAddDetailDistinct (metrischer Name: Schnur, Schlüssel: Schnur | IP-Adresse, artikel: Zahl | Schnur | IP-Adresse: nichtig

Erstellt ein benutzerdefiniertes Detail unterschiedliche Zählmetrik anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an das angegebene Netzwerk.

metric_name: Schnur

Der Name der detaillierten Metrik für unterschiedliche Zählungen.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

item: Zahl | Schnur | IP-Adresse

Der Wert, der in das Set aufgenommen werden soll. Der Wert wird in eine Zeichenfolge umgewandelt, bevor er in den Satz aufgenommen wird.

metricAddMax(metric_name: Schnur , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene maximale Metrik. Übergibt die Metrikdaten an das angegebene Netzwerk.

metric_name: Schnur

Der Name der maximalen Metrik der obersten Ebene.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailMax(metric_name: Schnur , key: Schnur | IP-Adresse , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail maximale Metrik anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an das angegebene Netzwerk.

metric_name: Schnur

Der Name der maximalen Detailmetrik.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddSampleset(metric_name: Schnur , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Stichprobensatz, Metrik. Übergibt die Metrikdaten an das angegebene Netzwerk.

metric_name: Schnur

Der Name der Sampleset-Metrik der obersten Ebene.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailSampleset(metric_name: Schnur , key: Schnur | IP-Adresse , val: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Stichprobensatz, Metrik anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an das angegebene Netzwerk.

metric_name: Schnur

Der Name der Detail-Sampleset-Metrik.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

val: Zahl

Der beobachtete Wert, z. B. eine Verarbeitungszeit. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddSnap(metric_name: Schnur , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes oberste Ebene Snapshot-Metrik. Übergibt die Metrikdaten an das angegebene Netzwerk.

metric_name: Schnur

Der Name der Snapshot-Metrik der obersten Ebene.

count: Zahl

Der beobachtete Wert, z. B. aktuell hergestellte Verbindungen. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

metricAddDetailSnap(metric_name: Schnur , key: Schnur | IP-Adresse , count: Zahl , options: Objekt ):void

Erstellt ein benutzerdefiniertes Detail Snapshot-Metrik anhand derer Sie einen Drilldown durchführen können. Übergibt die Metrikdaten an das angegebene Netzwerk.

metric_name: Schnur

Der Name der Detail-Sampleset-Metrik.

key: Schnur | IP-Adresse

Der für die Detail-Metrik angegebene Schlüssel. EIN null Der Wert wird stillschweigend verworfen.

count: Zahl

Der beobachtete Wert, z. B. aktuell hergestellte Verbindungen. Muss eine 64-Bit-Ganzzahl ungleich Null mit positivem Vorzeichen sein. EIN NaN Der Wert wird stillschweigend verworfen.

options: Objekt

Ein optionales Objekt, das die folgenden Eigenschaften enthalten kann:

highPrecision: Boolesch

Ein Flag, das eine Granularität von einer Sekunde für die benutzerdefinierte Metrik aktiviert, wenn es auf gesetzt ist true.

Beispiele für Trigger

• Beispiel: Syslog über TCP mit universeller Nutzlastanalyse analysieren
• Beispiel: Daten in einer Sitzungstabelle aufzeichnen
• Beispiel: SOAP-Anfragen verfolgen

Hier sind einige wichtige Dinge, die Sie über Sitzungstabellen wissen sollten:

• Die Sitzungstabelle unterstützt normale JavaScript-Werte, sodass Sie der Tabelle JS-Objekte hinzufügen können.
• Sitzungs-Tabelleneinträge können entfernt werden, wenn die Tabelle zu groß wird oder wenn das konfigurierte Ablaufdatum erreicht ist.
• Weil der Sitzungstisch auf einem Sensor wird nicht geteilt mit Konsole, die Werte in der Sitzungstabelle werden nicht mit anderen verbundenen Benutzern geteilt Sensoren.
• Die ExtraHop Open Data Context API macht die Sitzungstabelle über das Verwaltungsnetzwerk verfügbar und ermöglicht so die Koordination mit externen Prozessen über memcache protokoll.

Ereignisse

Die Session-Klasse ist nicht nur beschränkt auf SESSION_EXPIRE Ereignis. Sie können die Session-Klasse auf jedes ExtraHop-Ereignis anwenden.

SESSION_EXPIRE

Wird regelmäßig (in Schritten von etwa 30 Sekunden) ausgeführt, solange die Sitzungstabelle verwendet wird. Wenn der SESSION_EXPIRE Ereignis werden ausgelöst, Schlüssel, die im letzten 30-Sekunden-Intervall abgelaufen sind, sind verfügbar über Session.expiredKeys Eigentum.

Die SESSION_EXPIRE Das Ereignis ist keinem bestimmten Fluss zugeordnet, wird also ausgelöst SESSION_EXPIRE Ereignisse können Gerätemetriken nicht übertragen Device.metricAdd*() Methoden oder Flow.client.device.metricAdd*() Methoden. Um Gerätekennzahlen für dieses Ereignis zu bestätigen, müssen Sie Folgendes hinzufügen Device Objekte in die Sitzungstabelle über Device() Instanzmethode.

Hinweis:

Sie können Trigger, die nur bei diesem Ereignis ausgeführt werden, nicht bestimmten Geräten oder Gerätegruppen zuweisen. Trigger, die bei diesem Ereignis ausgeführt werden, werden immer dann ausgeführt, wenn dieses Ereignis eintritt.

TIMER_30SEC

Läuft genau alle 30 Sekunden. Dieses Ereignis ermöglicht es Ihnen, periodische Verarbeitungen durchzuführen, z. B. regelmäßig auf Session-Tabelleneinträge zuzugreifen, die über die Öffnen Sie die Datenkontext-API.

Hinweis:

Sie können eine beliebige Triggerklasse auf das TIMER_30SEC-Ereignis anwenden.

Hinweis:

Sie können Trigger, die nur bei diesem Ereignis ausgeführt werden, nicht bestimmten Geräten oder Gerätegruppen zuweisen. Trigger, die bei diesem Ereignis ausgeführt werden, werden immer dann ausgeführt, wenn dieses Ereignis eintritt.

Methoden

add(key: Schnur , value*, options: Objekt ): *

Fügt den angegebenen Schlüssel in die Sitzungstabelle ein. Wenn der Schlüssel vorhanden ist, wird der entsprechende Wert zurückgegeben, ohne den Schlüsseleintrag in der Tabelle zu ändern. Wenn der Schlüssel nicht vorhanden ist, wird ein neuer Eintrag für den Schlüssel und den Wert erstellt, und der neue Wert wird zurückgegeben.

Sie können ein optionales Optionen Objekt für den angegebenen Schlüssel.

getOptions(key: Schnur ): Objekt

Gibt den Optionen Objekt für den angegebenen Schlüssel. Sie konfigurieren Optionen bei Aufrufen von Session.add(), Session.modify(), oder Session.replace().

increment(key: Schnur , count: Zahl ): Zahl | null

Sucht nach dem angegebenen Schlüssel und erhöht den Schlüsselwert um die angegebene Zahl. Der Standardwert des optionalen Zählparameters ist 1. Gibt den neuen Schlüsselwert zurück, wenn der Aufruf erfolgreich ist. Retouren null wenn die Suche fehlschlägt. Gibt einen Fehler zurück , wenn der Schlüsselwert keine Zahl ist.

lookup(key: Schnur ): *

Sucht den angegebenen Schlüssel in der Sitzungstabelle und gibt den entsprechenden Wert zurück. Retouren null wenn der Schlüssel nicht vorhanden ist.

modify(key: Schnur , value: *, options: Objekt ): *

Ändert den angegebenen Schlüsselwert, wenn der Schlüssel in der Sitzungstabelle vorhanden ist, und gibt den vorherigen Wert zurück. Wenn der Schlüssel nicht vorhanden ist, wird kein neuer Eintrag erstellt.

Bei Änderungen zum optionalen Optionen Objekte sind enthalten, die wichtigsten Optionen werden aktualisiert. und alte Optionen werden mit neuen zusammengeführt. Wenn der expire Option wurde geändert, der Ablauftimer wurde zurückgesetzt.

remove(key: Schnur ): *

Entfernt den Eintrag für den angegebenen Schlüssel und gibt den zugehörigen Wert zurück.

replace(key: Schnur , value: *, options: Objekt ): *

Aktualisiert den Eintrag, der dem angegebenen Schlüssel zugeordnet ist. Wenn der Schlüssel vorhanden ist, aktualisieren Sie den Wert und geben Sie den vorherigen Wert zurück. Wenn der Schlüssel nicht vorhanden ist, fügen Sie den Eintrag hinzu und geben Sie den vorherigen Wert (Null) zurück.

Bei Änderungen zum optionalen Optionen Objekte sind enthalten, die wichtigsten Optionen werden aktualisiert und alte Optionen werden mit neuen zusammengeführt. Wenn der expire Option ist vorhanden, der Ablauftimer wird zurückgesetzt.

Konstanten

PRIORITY_LOW: Zahl

Die numerische Darstellung der niedrigsten Prioritätsstufe. Der Wert ist 0. Prioritätsstufen bestimmen die Reihenfolge, in der Einträge aus der Sitzungstabelle entfernt werden, wenn die Tabelle zu groß wird.

PRIORITY_NORMAL: Zahl

Die numerische Darstellung der Standardprioritätsstufe. Der Wert ist 1. Prioritätsstufen bestimmen die Reihenfolge, in der Einträge aus der Sitzungstabelle entfernt werden, wenn die Tabelle zu groß wird.

PRIORITY_HIGH: Zahl

Die numerische Darstellung der höchsten Prioritätsstufe. Der Wert ist 2. Prioritätsstufen bestimmen die Reihenfolge, in der Einträge aus der Sitzungstabelle entfernt werden, wenn die Tabelle zu groß wird.

Eigenschaften

expiredKeys: Reihe

Eine Reihe von Objekten mit den folgenden Eigenschaften:

age: Zahl

Das Alter des abgelaufenen Objekts, ausgedrückt in Millisekunden. Alter ist die Zeitspanne, die zwischen dem Hinzufügen des Objekts in der Sitzungstabelle oder der Änderung der Ablaufoption des Objekts verstrichen ist, und SESSION_EXPIRE Ereignis. Das Alter bestimmt, ob der Schlüssel entfernt wurde oder abgelaufen ist.

name: Schnur

Der Schlüssel des abgelaufenen Objekts.

value: Zahl | Schnur | IP-Adresse | Boolescher Wert | Gerät

Der Wert des Eintrags in der Sitzungstabelle.

Zu den abgelaufenen Schlüsseln gehören Schlüssel, die gelöscht wurden, weil die Tabelle zu groß wurde.

Die expiredKeys Auf die Immobilie kann nur zugegriffen werden auf SESSION_EXPIRE Ereignisse; andernfalls tritt ein Fehler auf.

Beispiele für Trigger

• Beispiel: Daten in einer Sitzungstabelle aufzeichnen

Eigenschaften

uuid: Schnur

Der Universally Unique Identifier (UUID) des Sensor oder Konsole.

ipaddr: IP-Addresse

Die IPAddress Objekt der primären Verwaltungsschnittstelle (Interface 1) auf dem Sensor.

hostname: Schnur

Der Hostname für den Sensor oder Konsole in den Administrationseinstellungen konfiguriert.

version: Schnur

Die Firmware-Version läuft auf dem Sensor oder Konsole.

Methoden

hasIP(address: IP-Addresse ): boolesch

Der Wert ist true ob die Bedrohungen für die angegebene IP-Adresse gefunden wurden. Wenn im ExtraHop-System keine nachrichtendienstlichen Informationen verfügbar sind, ist der Wert null.

hasDomain(domain: Schnur ): boolesch

Der Wert ist true ob die Bedrohungen für die angegebene Domain gefunden wurden. Wenn im ExtraHop-System keine nachrichtendienstlichen Informationen verfügbar sind, ist der Wert null.

hasURI(uri: Schnur ): boolesch

Der Wert ist true ob die Bedrohungen für den angegebenen URI gefunden wurden. Wenn im ExtraHop-System keine nachrichtendienstlichen Informationen verfügbar sind, ist der Wert null.

Eigenschaften

isAvailable: boolesch

Der Wert ist true wenn Bedrohungsinformationen auf dem ExtraHop-System verfügbar sind.

Eigenschaften

isDebugEnabled: boolesch

Der Wert ist true wenn das Debugging für den Auslöser aktiviert ist. Der Wert wird durch den Zustand des bestimmt Debug-Log aktivieren Checkbox im Bereich Trigger bearbeiten im ExtraHop-System.

Eigenschaften der Instanz

id: Zahl

Die numerische ID für ein VLAN.