Сворачивание событий
При построении пользовательских досье записи некоторых событий, произошедших в течение определенного порогового периода, объединяются в одно событие. Эта функция, известная как сворачивание событий, оптимизирует обработку данных о событиях и повышает точность пользовательских досье. Пороговый период составляет 10 секунд.
Учитывая, что одно действие пользователя часто вызывает несколько событий, сворачивание событий применяется при обработке данных из журнала аудита. Однотипные события, такие как разрешение доступа или запрет доступа, объединяются в одно событие, если выполнены все перечисленные условия:
•Разница времени событий не больше 10 секунд.
•Записи о событиях имеют одинаковые значения следующих полей: Сервер, Компьютер, Пользователь, Источник, Событие, PID, Процесс, Имя, Информация.
Сворачивание событий выполняется при построении любых диаграмм и списков на карточках пользователей.