77、深入了解 IDS 事件查看器的配置与使用

深入了解 IDS 事件查看器的配置与使用

1. 创建视图

视图定义了警报的呈现方式，还可以包含过滤器来明确显示哪些警报。视图和过滤器有所不同，视图决定警报的呈现方式，而过滤器决定显示哪些警报。

视图包含以下定义警报呈现方式的参数：
- 过滤器 ：视图可选择指定一个过滤器，根据过滤器参数过滤视图中显示的警报。若要在视图中过滤警报，需先创建合适的过滤器。
- 分组方式 ：IEV 包含一个聚合表，提供视图内所有警报的聚合显示。可基于以下参数对警报进行分组或排序：
- 签名名称
- 源地址
- 目的地址
- 传感器名称
- 严重级别
- 警报聚合表初始显示的列 ：在警报聚合表中基于特定参数对警报进行分组后，还有其他列提供分组警报的摘要或聚合信息，包括：
- 签名名称
- 源地址
- 目的地址
- 传感器名称
- 严重级别
- 总警报计数
- 二级排序列 ：定义在应用分组方式后，用于对警报聚合表中的警报进行排序的列。默认情况下，与分组方式对应的列被选作二级排序列，但前面列出的任何列都可定义为二级排序列。
- 数据源 ：可选择 IEV 获取警报的默认数据源，包括：
- event_realtime_table：包含所有当前警报并接收新警报。
- 存档文件：默认情况下，IEV 每 24 小时将警报存档到单独的文件中，可指定存档文件作为数据源查看历史警报信息。