Netpulse_SasS/server/internal/store/alerts_events_test.go

package store

import (
	"errors"
	"strings"
	"testing"
)

// Помилка, яку лікує ця гілка: джерело, якого движок не вміє,
// зберігалось мовчки й виглядало ввімкненим.
func TestUnsupportedSourcesAreRefusedWithReason(t *testing.T) {
	for _, src := range []string{"link", "agent", "вигадане"} {
		reason := UnsupportedSourceReason(src)
		if reason == "" {
			t.Errorf("%s: джерело не працює, а відмови немає", src)
		}
		if len(reason) < 40 {
			// Відмова без пояснення — та сама мовчанка, тільки з кодом
			// помилки. Людина має дізнатись, що робити натомість.
			t.Errorf("%s: пояснення надто коротке: %q", src, reason)
		}
	}
	// `trap` переїхав сюди з переліку вище: 0065 дала йому приймач,
	// словник і перевірку умови. Тест лишається двобічним навмисно —
	// джерело, яке працює, не має відмовляти, а джерело, якого немає,
	// не має мовчати.
	for _, src := range []string{"metric", "icmp", "interface", "syslog", "ncm", "compliance", "trap"} {
		if r := UnsupportedSourceReason(src); r != "" {
			t.Errorf("%s: працююче джерело відхилено: %s", src, r)
		}
	}
}

func TestEventSourcesAreExactlyTheEventDriven(t *testing.T) {
	for _, src := range []string{"syslog", "ncm", "compliance", "trap"} {
		if !IsEventSource(src) {
			t.Errorf("%s мало бути подієвим", src)
		}
	}
	for _, src := range []string{"metric", "icmp", "interface"} {
		if IsEventSource(src) {
			t.Errorf("%s опитується, а не приходить подією", src)
		}
	}
}

// Правило на журнал без зразка підпало б під кожен рядок — тобто дало б
// алерт на все підряд у першу ж хвилину.
func TestSyslogRuleNeedsPattern(t *testing.T) {
	if err := ValidateRuleCondition("syslog", []byte(`{}`)); err == nil {
		t.Fatal("правило без зразка мало бути відхилене")
	} else if !errors.Is(err, ErrInvalid) {
		t.Fatalf("очікували ErrInvalid, отримали %v", err)
	}
}

// Про друкарську помилку в регулярному виразі людина має дізнатись із
// форми, а не з тригера, який рік мовчав.
func TestSyslogRuleRejectsBrokenPattern(t *testing.T) {
	err := ValidateRuleCondition("syslog", []byte(`{"regex":"%LINK-3-(UPDOWN"}`))
	if err == nil {
		t.Fatal("незакрита дужка мала бути помічена")
	}
	if !strings.Contains(err.Error(), "компілю") {
		t.Errorf("пояснення має вказувати на зразок: %v", err)
	}
}

func TestSyslogSeverityBounds(t *testing.T) {
	if err := ValidateRuleCondition("syslog", []byte(`{"regex":"x","severity_lte":4}`)); err != nil {
		t.Fatalf("рівень 4 припустимий: %v", err)
	}
	if err := ValidateRuleCondition("syslog", []byte(`{"regex":"x","severity_lte":9}`)); err == nil {
		t.Fatal("рівнів syslog більше семи не буває")
	}
}

// Тригер на конфіг мусить сказати, ЯКУ саме подію ловить: «змінився» і
// «не зібрався» — новини для різних людей.
func TestNcmRuleNeedsEvent(t *testing.T) {
	if err := ValidateRuleCondition("ncm", []byte(`{}`)); err == nil {
		t.Fatal("умова без події мала бути відхилена")
	}
	if err := ValidateRuleCondition("ncm", []byte(`{"event":"вигадана"}`)); err == nil {
		t.Fatal("невідома подія мала бути відхилена")
	}
	for _, ev := range []string{"changed", "backup_failed"} {
		if err := ValidateRuleCondition("ncm", []byte(`{"event":"`+ev+`"}`)); err != nil {
			t.Errorf("%s: %v", ev, err)
		}
	}
}

// Відповідність — єдине подієве джерело, де порожня умова осмислена:
// «скажи мені про будь-яке порушення».
func TestComplianceRuleAllowsEmptyCondition(t *testing.T) {
	if err := ValidateRuleCondition("compliance", []byte(`{}`)); err != nil {
		t.Fatalf("порожня умова мала пройти: %v", err)
	}
	if err := ValidateRuleCondition("compliance", []byte(`{"min_severity":"страшна"}`)); err == nil {
		t.Fatal("невідома серйозність мала бути відхилена")
	}
}

// Опитувані джерела через цю перевірку проходять без змін: їхню умову
// розбирає движок, і дублювати тут його whitelist означало б розійтися
// з ним на першій же правці.
func TestPolledSourcesPassValidationUntouched(t *testing.T) {
	if err := ValidateRuleCondition("icmp", []byte(`{"metric":"loss_pct","op":">","value":20}`)); err != nil {
		t.Fatalf("метричну умову тут не перевіряють: %v", err)
	}
}

// Ключ подієвого алерту має збігатися з ключем метричного для тієї ж
// пари: два формати рано чи пізно дали б два алерти про одне.
func TestEventDedupKeyMatchesCandidateKey(t *testing.T) {
	c := Candidate{DeviceID: "d1"}
	if EventDedupKey("r1", "d1") != c.DedupKey("r1") {
		t.Fatalf("ключі розійшлись: %q проти %q", EventDedupKey("r1", "d1"), c.DedupKey("r1"))
	}
}

// ---------------------------------------------------------------------
// Трапи
// ---------------------------------------------------------------------

// Правило без жодного звуження підпало б під КОЖЕН трап у мережі — і
// перший же linkUp кожного порту навчив би людину не читати сповіщення.
func TestTrapRuleNeedsSomethingToMatch(t *testing.T) {
	err := ValidateRuleCondition("trap", []byte(`{}`))
	if err == nil {
		t.Fatal("умова без OID і без адреси мала бути відхилена")
	}
	if !errors.Is(err, ErrInvalid) {
		t.Fatalf("очікували ErrInvalid, отримали %v", err)
	}
}

// Дві форми звуження, і кожної окремо достатньо: «цей трап звідусіль» і
// «будь-який трап від цієї адреси» — обидва питання осмислені.
func TestTrapRuleAcceptsOIDOrSource(t *testing.T) {
	for _, cond := range []string{
		`{"trap_oid":"1.3.6.1.6.3.1.1.5.3"}`,
		`{"trap_oid":".1.3.6.1.6.3.1.1.5.3"}`,
		`{"source_ip":"10.20.0.0/24"}`,
		`{"source_ip":"10.20.0.7"}`,
		`{"trap_oid":"1.3.6.1.6.3.1.1.5.3","varbind_oid":"1.3.6.1.2.1.2.2.1.8","varbind_value":"2"}`,
		// Varbind без значення — «щоб такий взагалі був». Теж питання.
		`{"trap_oid":"1.3.6.1.6.3.1.1.5.3","varbind_oid":"1.3.6.1.2.1.2.2.1.1"}`,
	} {
		if err := ValidateRuleCondition("trap", []byte(cond)); err != nil {
			t.Errorf("%s: %v", cond, err)
		}
	}
}

// Описка в OID має бути помічена у формі, а не через півроку тиші.
func TestTrapRuleRejectsBrokenOID(t *testing.T) {
	for _, cond := range []string{
		`{"trap_oid":"linkDown"}`,
		`{"trap_oid":"1.3.6.1.6.3.1.1.5,3"}`,
		`{"trap_oid":"1..3.6"}`,
		`{"source_ip":"10.20.0.300"}`,
		`{"trap_oid":"1.3.6.1.6.3.1.1.5.3","varbind_oid":"ifIndex"}`,
	} {
		if err := ValidateRuleCondition("trap", []byte(cond)); err == nil {
			t.Errorf("%s: описку не помічено", cond)
		}
	}
}

// Значення varbind-а без OID varbind-а порівнювати ніде: у трапі їх
// десяток. Мовчазне ігнорування дало б умову, яка виглядає точною й не
// є такою.
func TestTrapRuleRejectsValueWithoutOID(t *testing.T) {
	err := ValidateRuleCondition("trap", []byte(`{"trap_oid":"1.3.6.1.6.3.1.1.5.3","varbind_value":"2"}`))
	if err == nil {
		t.Fatal("значення без OID varbind-а мало бути відхилене")
	}
	if !strings.Contains(err.Error(), "1.3.6.1.2.1.2.2.1.1") {
		// Відмова має казати, що робити далі, а не лише «ні».
		t.Errorf("у поясненні немає прикладу: %v", err)
	}
}

// Поля чужого джерела в умові — не дрібниця: людина, яка переключила
// джерело з «Syslog» на «Трапи», має дізнатися, що зразок більше не
// діє. Мовчазне ігнорування дало б правило, яке ловить УСЕ.
func TestTrapRuleRefusesSyslogLeftovers(t *testing.T) {
	for _, cond := range []string{
		`{"trap_oid":"1.3.6.1.6.3.1.1.5.3","regex":"%LINK-3-UPDOWN"}`,
		`{"trap_oid":"1.3.6.1.6.3.1.1.5.3","severity_lte":4}`,
		`{"trap_oid":"1.3.6.1.6.3.1.1.5.3","tag":"LINK"}`,
	} {
		err := ValidateRuleCondition("trap", []byte(cond))
		if err == nil {
			t.Errorf("%s: залишок від syslog проковтнуто мовчки", cond)
			continue
		}
		if len(err.Error()) < 60 {
			t.Errorf("%s: відмова без пояснення: %v", cond, err)
		}
	}
}

// Алерт про трап від адреси, яку не впізнали, не має зливатися з
// алертами про інших незнайомців: інакше на дошці буде один рядок
// «щось у мережі шле трапи», з яким нічого не зробиш.
func TestTrapDedupKeySeparatesUnknownSenders(t *testing.T) {
	if got := TrapDedupKey("r1", "d1", "10.0.0.1"); got != EventDedupKey("r1", "d1") {
		t.Fatalf("для відомого хоста ключ має бути звичайним: %q", got)
	}
	a := TrapDedupKey("r1", "", "10.0.0.1")
	b := TrapDedupKey("r1", "", "10.0.0.2")
	if a == b {
		t.Fatalf("двоє незнайомців злилися в один алерт: %q", a)
	}
	if a == EventDedupKey("r1", "") {
		t.Fatalf("ключ без хоста збігся з ключем «хост порожній»: %q", a)
	}
}