Как накапливать факты с одинаковым значением поля в drools

Question

Я написал правило для предупреждения события ssh с «неудавшимся паролем». Это правило находится здесь:

rule "Hello World" 
    when 
    accumulate(m:Message(eventType=="Failed password") over window:time(59s);s:count(m);s>3) 
    then 
    System.out.println("success"); 
    Alert alert=new Alert("ssh","test"); 
    insert(alert); 
end 

Это работает для первого сценария. Но я хочу расширить это правило. Я хочу накопить событие ssh с «неудавшимся паролем» с тем же адресом Src_ip. Например, если у меня 4 сбойного события ssh sys в 59s из трех разных src_ip, это правило не соответствует, но когда у меня есть 4 сбойного события ssh ssh в 59s из одного src_ip, правило совпадает. Как я должен переписать это правило для этого сценария.

Answer 1

Вам нужно одно сообщение, чтобы выбрать определенный IP-адрес; то вы можете накапливать другие с одинаковым значением.

rule "Four or more" 
when 
    $ml: Message(eventType == "Failed password", $ip: src_ip) 
    not Message(eventType == "Failed password", src_ip == $ip, this after $ml) 
    accumulate(Message(eventType == "Failed password", src_ip == $ip) 
     over window:time(59s); s:count(1); s > 3) 
then 
    System.out.println("success"); 
    Alert alert=new Alert("ssh","test"); 
    insert(alert); 
end