Стадии и очереди

Таблица. Точки подключения правил

Стадия и массив workFlowКаталогНазначение

L1 — preFilter

scripts/an-prefilter/

Предварительная обработка и подготовка событий для детекторов.

L2 — detect

scripts/an-detect/

Протокольные и прикладные детекторы; порядок может определять доступность события последующим правилам.

L3 — postFilter

scripts/an-postfilter/

Постобработка, отбор и назначение транспортных профилей.

L4 — analyseIPC

scripts/an-ipcchannels/

Обработчики IPC-каналов.

L5 — onTimer

scripts/an-timers/

Периодические обработчики по таймеру.

Таблица. Параметры workFlow.settings

ПараметрЗначенияНазначение и особенности

preFilter.threadCount

Целое; 10

Количество потоков предварительной обработки.

preFilter.maxEventCount

Целое; 100000

Предельная длина очереди L1.

detect.threadCount

Целое; 10

Количество потоков детектирования.

detect.maxEventCount

Целое; 100000

Предельная длина очереди L2.

postFilter.threadCount

Целое; 1

Количество потоков постобработки.

postFilter.maxEventCount

Целое; 100000

Предельная длина очереди L3.

Очередь сглаживает временное различие скоростей соседних стадий. Устойчивый рост очереди означает, что следующая стадия обрабатывает данные медленнее поступления. Увеличивать maxEventCount полезно только при достаточной RAM и кратковременных всплесках; при постоянном росте проверяют сложность правил, загрузку CPU и объём входного потока.

Таблица. Элемент массива правил workFlow

ПараметрЗначенияНазначение и особенности

name

Имя Lua-файла

Файл должен находиться в каталоге соответствующей стадии.

enabled

true / false

Включение правила. Для отключения задавайте false.

on_error

true / false

Вызов предусмотренного обработчика ошибки скрипта.

Важно. Удаление записи встроенного правила L1–L3 не гарантирует его отключения: отсутствующая запись может быть восстановлена включённой. Для управляемого отключения сохраняйте запись с enabled: false.