Проблема с вычислением по формуле

[pvv24255]

Добрый день.
С сетевых железок тяну syslog, для каждой машины в отдельности. Все хорошо.
Хочу отслеживать количество попыток с неправильной авторизации.
Вот триггер, который просто фиксирует наличие ошибочной авторизации:

{Template_Syslog:syslog.iregexp(SYS-5-PRIV_AUTH_FAIL)}=1

Все хорошо отрабатывает.
Теперь необходим триггер, который будет срабатывать при количестве неудачных авторизаций равным 3-м.

Пробовал создать сначала item, с вычислением: count("syslog","iregexp(SYS-5-PRIV_AUTH_FAIL)")
А далее собирался, уже триггер настроить на количество раз за определенный период времени...
Но на такой item ругается: Cannot evaluate expression: "Cannot evaluate function "count("iregexp(SYS-5-PRIV_AUTH_FAIL)")"."

Где ошибаюсь?!

[Kos]

Где ошибаюсь?!

1) параметры триггерной функции count задаются следующим образом:
count (сек|#кол-во,<шаблон>,<оператор>,<сдвиг_времени>)
Вы же, почему-то, вместо всего этого пытаетесь передать другую функцию с её параметром, а первый параметр игнорируете вовсе.

2) можно обойтись и без второго (вычисляемого) элемента данных, если в триггере использовать функцию count(). Только надо определиться, за какой период считать. Скажем, если Вас интересует "3 срабатывания в течение 5 минут", то триггер будет выглядеть примерно так:

{Template_Syslog:syslog.count(5m,SYS-5-PRIV_AUTH_FAIL,iregexp)}=1

[pvv24255]

2) можно обойтись и без второго (вычисляемого) элемента данных, если в триггере использовать функцию count(). Только надо определиться, за какой период считать. Скажем, если Вас интересует "3 срабатывания в течение 5 минут", то триггер будет выглядеть примерно так:

{Template_Syslog:syslog.count(5m,SYS-5-PRIV_AUTH_FAIL,iregexp)}=1

Вот так сделал, не успел отписаться на форуме.

{Template_Syslog:syslog.count(60s,"SEC_LOGIN-4-LOGIN_FAILED: Login failed")}>3

Вроде работает, спасибо за помощь...