新建/编辑模型 编辑模型 仅支持编辑自定义创建的模型。 1. 登录管理控制台。 2. 单击页面左上方的,选择“安全 > 态势感知(专业版)”,进入态势感知(专业版)管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”,并在工作空间列表中,单击目标工作空间名称,进入目标工作空间管理页面。 4. 在左侧导航栏选择“建模分析 > 智能建模”,进入智能建模的可用模型页面。 5. 在可用模型列表中,单击目标模型所在行“操作”列的“编辑”,右侧弹出编辑告警模型页面。 6. 在编辑告警模型页面中,配置告警模型基础信息,参数说明如下表所示。 参数名称 参数说明 管道名称 选择该告警模型的执行管道。暂不支持编辑 。 模型名称 自定义该条告警模型的名称。 严重程度 设置该告警模型的严重程度。可以设置致命、高危、中危、低危、提示级别。 告警类型 选择该条告警模型触发后,提示的告警类型。 模型类型 默认为规则模型。 描述 该告警模型的描述信息。 7. 设置完成后,单击页面右下角“下一步”,进入设置模型逻辑页面。 8. 设置模型逻辑,参数说明如下表所示。 参数名称 参数说明 查询规则 设置告警的查询规则,设置完成后可以单击“运行”,查看当前运行结果。 查询分析语句由查询语句和分析语句构成,格式为查询语句分析语句,查询分析语句语法详细内容请参见查询与分析语法。 说明 如果筛留字段为text类型时,默认会使用MATCHQUERY进行分词查询。 查询计划 设置告警查询计划。 运行查询间隔:xx分钟/小时/天。 当运行查询间隔为分钟时,可设置为559分钟;当运行查询为小时时,可设置为123小时;当运行查询为天时,可设置为114天。 时间窗口:xx分钟/小时/天。 当时间窗口为分钟时,可设置为559分钟;当时间窗口为小时时,可设置为123小时;当时间窗口为天时,可设置为114天。 延迟执行时间:xx分钟,可以设置为05分钟。 告警扩充 自定义信息:自定义告警扩充信息。 单击“添加”,并设置key+value信息,完成新增。 告警详细信息:自定义填写告警名称、描述和处置建议。 触发条件 设置告警触发条件。可设置为:大于/等于/不等于/小于xx时,触发告警。 告警分组 配置将规则查询结果分组到告警的方式。可选择以下方式: 将所有查询结果分组到一个告警中 将每条查询结果独立触发告警 调试模式 设置是否生成调试类告警。 抑制 设置生产告警后是否停止运行查询。 如果设置为抑制,即生成告警后停止运行查询。 如果设置为不抑制,即生成告警后不停止运行查询。 9. 设置完成后,单击页面右下角“下一步”,进入模型详情预览页面。 10. 预览确认无误后,单击页面右下角“确定”。