Stop processing of event processing policy

[axel]

В каких ситуациях используется этот флажок? Примеры если можно.

Спасибо.

[victor]

Naprimer u menja mnogo pravil takogo vida:

any_host event1 - do actions
any_host event2 - do actions
...
any_host eventN - do actions

I ja hochu iskljuchit' odin konkretnij host iz processinga - ja konechno mogu v kazdom pravile propisat' ego i postavit' "Negate", no proshe do togo sdelat' pravilo

bad_host any_event - stop processing

T.e. mozno ispol'zovat' esli snahala idet specializirovannaja obrabotka eventa dlja hostov, a potom - obschee pravilo dlja vseh ostal'nih. Togda v spec. pravilah stavim "stop processing" i obschee pravilo budet prosche.

Nu i mozno kazdoe pravilo otmechat' flazkom "stop processing" - togda budet logika kak u firewall policy - komu-to eto mozet bit' prosche.

[axel]

Т.е. как я понимаю:

1. можно исключить какой-либо хост от всевозможных проверок, поставив правило выше всех.
2. отключить дальнейшие проверки по конкретному правилу.

Это правильно я понял?

А что будет если описано правило следующим образом:
Source Any
Event SYS_IF_DOWN ANY
Severity Any
Script NULL
Alarm ? %m
Situation None
Action SendMail_Down_IF
Options Stop Proccessing

[victor]

Punkt 2 ja bi sformuliroval kak "prekratit' dal'nejshuju obrabotku sobitija".

V privedennom primere esli prihodit sobitie SYS_IF_DOWN, to budet sozdan alarm, vipolnen action SendMail_Down_IF, i na etom obrabotka sobitija zavershitsja. T.e. esli daze dal'she budet pravilo

Source Any
Event Any
Severity Any
Action SendMail

to vipolneno ono uze ne budet.

T.e. summiruja - dlja kazdogo sobitija server beret pravila po porjadku, proverjaet sobiti e na sootvestvie usloviju, esli uslovie istinno - vipolnjaet ukazannie v pravile dejstvija. V normal'noj situacii kazdoe sobitie propuskaetsja cherez kazdoe pravilo, no "stop processing" mozet dosrochno prervat' obrabotku sobitija (konechno esli sobitie sootvetstvuet usloviju v pravile).

[axel]

Ок, это понятно.
Вопрос, если у меня упало 20 интерфейсов. Как поступит обработчик в этом случае? Если на правиле SYS_ID_DOWN cтоит stop processing?

[victor]

Net raznici, 1, 20, ili 100 - kazdoe sobitie obrabativaetsja nezavisimo. Tak chto dlja kazdogo sobitija esli uslovie sootvetstvuet i stoit stop processing - mi obrabotku etogo konkretnogo sobitija prekraschaem. No na drugie sobitija eto nikakogo vlijanija ne okazivaet.

[axel]

Т.е. независимо от кол-ва упавших интерфейсов, придет всего одно письмо? Я правильно понял?

[victor]

Net, ne pravil'no. Na padenie kazdogo interfeisa generiruetsja otdel'noe sobitie, i kazdoe iz nih prohodit cherez event policy. Prohozdenie sobitija zakanchivaetsja kogda zakanchivaetsja policy (vse pravila projdeni) ili vstrechaetsja pravilo "stop processing". No nezavisimo ot togo kak prekratilas' obrabotka tekuschego sobitija, budet vzjato sledujuschee sobitie iz ocheredi i process povtoritsja.