SOC live view

De SOC live view is een scherm voor een meldkamer of servicedesk dat de hele dag open blijft staan. Het toont de alarmen die nu actief zijn — een camera die offline is gegaan, een uplink zonder link, een apparaat dat door 802.1x is geweigerd — met hoe lang elk alarm al staat, een live feed van wat er op het netwerk gebeurt, en een geluid wanneer er een nieuw alarm binnenkomt.

Het richt zich op het netwerk en de toegang ertoe: switches, poorten, apparaten en authenticatie. Het bewaakt niet de binnenkant van computers, zoals processorbelasting of schijfruimte.

De live view openen

Klik bovenaan het scherm, naast de klok, op SOC. De live view vult het scherm met een eigen kopregel:

• Live laat zien dat dit scherm updates ontvangt; het wordt oranje en daarna rood wanneer de appliance niet bereikbaar is.
• Collector laat zien dat de appliance het netwerk elke minuut controleert; Collector stalled betekent dat de controles zijn gestopt en dat wat u ziet niet meer actueel is.
• Enable sound, Full screen en het kleurthema.
• History en, met de juiste rol, Settings (dezelfde pagina als System > SOC).

De pagina werkt zichzelf elke tien seconden bij. Een account dat alleen de SOC live view mag gebruiken, komt er direct na het inloggen op uit (zie Een scherm in de meldkamer).

Alarmen

Actieve alarmen staan gesorteerd op ernst, daarna de alarmen die nog niemand heeft bevestigd, daarna de oudste. Elk alarm toont de ernst in woorden, wat er mis is, hoe lang het al duurt en waar: de switch en poort, de locatie en het rek, het patchpunt, de apparaatgroep. Klik op een alarm voor alle details en de geschiedenis.

Switches en apparaten worden elke vijf minuten gecontroleerd, en één verloren ping wordt eerst opnieuw geprobeerd voordat er iets wordt gemeld. Een switch die zijn syslog naar de appliance stuurt (zie de switchconfiguratiehandleidingen) wordt opnieuw uitgelezen zodra hij iets over een poort logt, zodat een uplink- of poortalarm binnen ongeveer twee minuten verschijnt. De logregel zelf geeft nooit een alarm — syslog kan worden vervalst — de verse uitlezing van de switch wel. Geweigerde authenticaties en honeypot-pogingen verschijnen binnen een minuut, een geblokkeerde login meteen.

Eén oorzaak, één alarm. Zolang een switch uit staat of niet uit te lezen is, geven de poorten en apparaten erachter geen eigen alarm: het switchalarm dekt ze, en niets wordt als opgelost gemeld alleen omdat het niet gecontroleerd kon worden. Hetzelfde geldt voor een virtueel apparaat waarvan de host offline is.

Offline alarm per apparaatgroep

Welke apparaten een alarm geven wanneer ze offline gaan, stelt u in op de apparaatgroep: No alarm, Warning of Critical bij Offline alarm. Zet camera's bijvoorbeeld op Critical en laat werkplekken die 's nachts uit staan op No alarm. System > SOC toont alle groepen.

Bevestigen, muten en sluiten

Een alarm bevestigen is niet hetzelfde als het oplossen — hetzelfde model dat Zabbix voor problemen gebruikt:

• Acknowledge (bevestigen) betekent "gezien, iemand pakt het op". Het geluid stopt en het alarm toont wie het heeft bevestigd en wanneer, maar het blijft in de lijst met actieve alarmen staan tot de oorzaak weg is. U kunt een alarm op elk moment bevestigen, ook terwijl het probleem nog speelt.
• Opgelost gebeurt vanzelf: zodra de camera weer antwoordt of de uplink zijn link terug heeft, verhuist het alarm naar Recently resolved (standaard vijftien minuten) en daarna naar de historie.
• Mute maakt een alarm stil en dimt het, voor 1 uur, 8 uur, 24 uur of tot het is opgelost — bijvoorbeeld voor een bekend probleem dat op een onderdeel wacht.
• Close (sluiten) is voor alarmen waar niets van herstelt: Access rejected, Honeypot triggered, Login blocked en IP address conflict. Sluit ze zodra ze zijn afgehandeld; een nieuwe gebeurtenis opent een nieuw alarm. Een alarm dat vanzelf verdwijnt, kunt u niet met de hand sluiten.

Bij elke actie kunt u een opmerking geven, en elke actie wordt in de geschiedenis van het alarm bewaard met wie het deed en wanneer — het spoor onder History in het alarmvenster. Add comment legt een notitie vast zonder het alarm te veranderen, ook bij een alarm dat al is opgelost. Elke actie komt daarnaast in het auditlog.

Een Access rejected-alarm verdwijnt vanzelf wanneer hetzelfde apparaat daarna wel wordt toegelaten. Een IP address conflict verdwijnt vanzelf wanneer het vijftien minuten niet meer is gezien.

Een Login blocked-alarm noemt het adres, het apparaat waar het bij hoort als dat geregistreerd is, en de accounts waarop de pogingen waren gericht — nooit een gebruikersnaam die niet bestaat, want dat is vaak een wachtwoord dat in het verkeerde veld is getypt. Het verdwijnt niet vanzelf wanneer de blokkade afloopt: of iemand een wachtwoord vergat of iets wachtwoorden probeert te raden, beoordeelt een operator. Een nieuwe blokkade van hetzelfde adres telt mee op het open alarm.

Live feed

De rechterkolom toont wat er op het netwerk gebeurt, op het moment dat het gebeurt: toegang verleend en geweigerd, switches en bewaakte apparaten die off- en online gaan, gewijzigde IP-adressen, servicepoorten die open en dicht gaan, de eigen logregels van de switches over hun poorten, geblokkeerde logins, en — met de optie Inspection — gemarkeerde poorten die hun link verliezen of terugkrijgen en SSL-bevindingen. Toegang verleend verschijnt alleen hier; het is nooit een alarm.

De feed meldt veranderingen, geen herhalingen: een apparaat dat zich steeds opnieuw aanmeldt, verschijnt wanneer zijn resultaat verandert, niet elke keer. Apparaten in een groep zonder offline alarm blijven uit de feed, zodat werkplekken die aan het eind van de dag uitgaan hem niet vullen.

Geluid

De geluiden gelden voor alle schermen tegelijk en stelt u in bij System > SOC: een toon voor Critical en een voor Warning (Beep, Chime, Alarm of No sound), en hoe vaak die herhaalt zolang een alarm niet is bevestigd of gemute. Een nieuw alarm klinkt altijd meteen.

Een browser speelt pas geluid af nadat er één keer op de pagina is geklikt. Klik op Enable sound in de live view; daarna zet dezelfde knop het geluid uit en aan, alleen voor dat scherm. Elke keer dat het geluid aangaat, bevestigt een korte pieptoon dat het werkt. Een scherm waar niemand bij zit, kan zijn browser in plaats daarvan starten met geluid toegestaan, bijvoorbeeld Chrome of Edge met:

--autoplay-policy=no-user-gesture-required --kiosk https://<appliance>/soc

Historie en bewaartermijn

History, bovenaan de live view, toont alle alarmen, open en opgelost, met filters op type, ernst, status, datum en tekst — een apparaatnaam, switch, poort of MAC-adres. Klik op een alarm voor de details en de opmerkingen die erbij zijn gemaakt.

Opgeloste en gesloten alarmen, de bevestigingen en opmerkingen daarbij en de live feed worden standaard 30 dagen bewaard; bij System > SOC kiest u 1 tot 365 dagen. Open alarmen blijven bewaard zolang ze open zijn.

Instellingen

System > SOC bevat:

• Alarm types — de ernst per type, of No alarm om een type uit te zetten
• Sound — de tonen en hoe vaak ze herhalen, met een Test-knop
• History and display — hoeveel dagen te bewaren, en hoe lang opgeloste alarmen op de live view blijven
• Offline alarm per device group — een overzicht met een link naar elke groep

Een scherm in de meldkamer

• Maak voor elk scherm een gebruiker met de rol soc-view — plus soc-acknowledge als de operators vanaf dat scherm moeten bevestigen — en zonder dashboard. Die gebruiker komt na het inloggen direct op de live view en ziet het menu nooit.
• Geef elk scherm een eigen account: wie met hetzelfde account ergens anders inlogt, logt het scherm uit.
• Het scherm blijft ingelogd zolang de pagina open staat. Wordt het account uitgeschakeld of verliest het zijn rol, dan meldt het scherm dat binnen tien seconden.
• Collector stalled in rood betekent dat de appliance is gestopt met het controleren van het netwerk; neem contact op met uw beheerder.

Licentie en rollen

De SOC live view is de licentieoptie SOC (onderdeel van een Full-licentie). De rollen zijn:

• soc-view — de live view en de historie openen
• soc-acknowledge — alarmen bevestigen, van een opmerking voorzien, muten en sluiten
• soc-settings — de SOC-instellingen en het offline alarm van apparaatgroepen wijzigen

Beheerders hebben alle drie.