Standardalerts

Standardalerts sind Alerts, die durch Änderungen an Ihren Protokollen ausgelöst werden. Diese Funktion wird durch das Überschreiten eines festgelegten Grenzwerts für die Menge bestimmter Protokolle ausgelöst und ermöglicht es Ihnen, die Systemleistung zu überwachen, bei Änderungen benachrichtigt zu werden und potenzielle Ursachen zu ermitteln. Diese Alerts sind nützlich, wenn Sie versuchen, die Häufigkeit eines bestimmten Vorfalls zu messen.

Mit der Standardalertfunktion können Sie Folgendes ausführen:

• Überwachen Sie die Systemleistung in Echtzeit. Gewinnen Sie Echtzeiterkenntnisse basierend auf den Kriterien Ihrer Wahl.

• Erstellen Sie die Abfragen für Ihre speziellen Anforderungen. Definieren Sie eine Abfrage, die die Protokolle erfasst, die Sie untersuchen möchten, und machen Sie die Abfrage spezifischer, indem Sie nach Anwendung, Subsystem und Wertigkeit filtern. Wählen Sie anschließend den Bereich der Bedingungen zum Auslösen eines Alerts aus. Sie können beispielsweise festlegen, dass ein Alert ausgelöst wird, wenn über einen bestimmten Zeitrahmen mehr als 10 Protokolle empfangen werden.

• Verwenden Sie einen auf maschinellem Lernen basierenden Ansatz. Bei Verwendung dieser Einstellung erstellt IBM Cloud Logs Profile für Ihre Daten und erkennt automatisch abnormales Verhalten.

• Empfangen Sie personalisierte Benachrichtigungen. Empfangen Sie Push-Benachrichtigungen in Echtzeit an Ihren bevorzugten Kommunikationskanal.

Standardalerts sind die einfachsten Alerts, die von IBM Cloud Logsangeboten werden. Diese können verwendet werden, um Ihre offensichtlichsten Anwendungsfälle als Grundlage für Ihr Beobachtbarkeitssystem abzudecken.

Zeitbezogene Alerts

Automatisches Erkennen von abnormalem Verhalten in Ihrem System mithilfe der zeitbezogenen Alerts. Alerts werden ausgelöst, wenn ein festes Verhältnis einen festgelegten Schwellenwert im Vergleich zu einem vergangenen Zeitrahmen erreicht.

Zeitbezogene Alerts verwenden für:

• Erhalten Sie automatische Alerts zu Änderungen an Sicherheit, Betrieb oder Geschäftsverhalten Ihres Systems im Laufe der Zeit.

• Vergleichen Sie das Verhalten über verschiedene Zeiträume hinweg. Beispiel:

  Sicherheit

  Empfangen Sie automatische Alerts, die verdächtiges Verhalten vergleichen. Vergleichen Sie beispielsweise die Anzahl der NX-Domänennamensantworten oder Administratoranmeldungen über Tage oder Wochen.

  Operations

  Erhalten Sie automatische Alerts zu Fehlerraten und Seitenladezeiten in Ihren Anwendungen. Vergleichen Sie beispielsweise Fehlerraten und Seitenladezeiten im vergangenen Tag oder in der vergangenen Stunde.

  Business

  Sie erhalten automatische Alerts, wenn eine Schicht im Vertrieb oder bei Benutzeranmeldungen auftritt. Vergleichen Sie beispielsweise die Anzahl der Einkäufe am selben Tag der letzten Woche oder die Benutzeranmeldungen im letzten Monat.

Alerts für eindeutige Anzahl

Wenn das Datenvolumen zunimmt und die Anzahl der Alerts, die von Protokollen, Metriken und Sicherheitssystemen generiert werden, exponentiell zunimmt, ist einer der leistungsfähigsten Indikatoren für Alertbedeutung die Anzahl der Elemente, die von dem Alert betroffen sind. Beispiele hierfür sind die Anzahl der Benutzer, die beim Aufrufen einer API auf einen Fehler 5XX gestoßen sind, die Anzahl der Kafka-Konsumentengruppen, die Fehler zurückgegeben haben, die Anzahl der CDN-Positionen, die Ihre Site momentan länger als 3 Sekunden laden, oder die Anzahl der unterschiedlichen Kennwörter, die ein einzelner Benutzer versucht, sich mit Ihrer Cloud-Service-Konsole anzumelden.

Das Problem mit den meisten Alerts besteht darin, dass sie das Problem beschreiben. Um jedoch den Schweregrad oder die Breite des Problems zu verstehen, müssen Benutzer einen Drilldown in die Daten durchführen oder sich auf Dashboards verlassen.

Alerts des Typs "Anzahl eindeutiger Elemente" lösen die Anzahl eindeutiger Werte innerhalb eines ausgewählten Schlüssels aus, die mit bestimmten Suchkriterien übereinstimmen. Das heißt, die Kardinalität eines bestimmten Schlüssels, der einer Suche entspricht.

Verhältnisalerts

Sie können ein Verhältnis zwischen zwei Protokollabfragen berechnen und einen Alert auslösen, wenn das Verhältnis einen festgelegten Schwellenwert erreicht.

Verwenden Sie diese Verhältnisalerts, um Folgendes zu überwachen:

• Betriebsstatus: Überwachen Sie die Anzahl abgehender Antworten auf eingehende Anforderungen oder das Verhältnis bestimmter Fehlercodes zur Gesamtzahl der Fehler.

• Marketing: Überwachen Sie das Verhältnis zwischen Datenverkehr aus bestimmten Regionen zum Gesamtdatenverkehr, der auf regionale Kampagnen folgt.

• Sicherheit: Überwachen Sie das Verhältnis von verweigerten Anforderungen, bestimmten Verwaltungsoperationen oder Anforderungen, die von geblockten Netzdomänen stammen, zu allen Anforderungen.

Alerts für neue Werte

Der Alert für neue Werte wird durch das erste Auftreten eines neuen Werts innerhalb eines Zeitintervalls ausgelöst. Alle Werte werden anhand einer Liste getestet, die dynamisch erstellt wird, während der Alert aktiv ist. Der Alert wird durch eine bestimmte Abfrage festgelegt, die eine Untergruppe von Protokollen identifiziert (falls erforderlich), und mit einem Schlüssel definiert, um neue Werte innerhalb des gewünschten Intervalls zu verfolgen.

Dieser Alert kann Ihnen helfen, ein mögliches abnormales Verhalten innerhalb Ihres Systems automatisch zu erkennen.

Beispiele für die Verwendung dieses Alerttyps:

• Sicherheit: Ein Alert kann durch eine neue Domänenverbindung ausgelöst werden. Da die Sicherheit IBM Cloud Logs alle Sicherheitsinformationen über den gesamten Datenaustausch im Netz protokolliert, kann eine neue Domänenverbindung mit dem Feld security.highest_registered_domain einen neuen Wert ergeben. Eine neue Domänenverbindung kann auf einen möglichen Sicherheitsangriff verweisen.

• Überwachung: Ein Alert kann durch einen neuen Anwendungsfehlercode ausgelöst werden. Viele Anwendungen senden ein error_code-Feld. Ein neuer Wert für dieses Feld kann auf ein neues Problem mit der Anwendung hinweisen.

Datenflussalerts

Ein Datenflussalert soll Sie benachrichtigen, wenn eine beliebige Kombination von Alertereignissen in einer bestimmten Reihenfolge innerhalb eines definierten Zeitrahmens auftritt.

Um beispielsweise über eine Zunahme der HTTP-Fehlerrate benachrichtigt zu werden, die durch eine hohe CPU-Auslastung verursacht wird, kann ein Datenflussalert so konfiguriert werden, dass er ausgelöst wird, wenn auf einen Alert für eine hohe CPU-Auslastung ein Alert für eine hohe HTTP-Fehlerrate innerhalb eines definierten Zeitrahmens folgt.

Die Verwendung von Datenflussalerts bietet die folgenden Vorteile:

• Umfassende Datenkorrelation: Mit Datenflussalerts können Sie Alerts zu Protokollen, Metriken und Sicherheitsereignissen korrelieren. Dieser Ansatz bietet eine ganzheitliche Sicht auf die Leistung Ihres Systems, nicht isolierte Einzelinformationen. Die korrelierten Informationen helfen Ihnen, alle Daten zu haben, die Sie für fundierte Entscheidungen benötigen.

• Erweiterte Ursachenanalyse: Datenflussalerts können konfiguriert werden, um die eigentliche Ursache eines Problems zu ermitteln. Mit der Möglichkeit, einen Alert zu definieren, der die eigentliche Ursache des Problems ermittelt, können Sie umgehend auf Probleme reagieren und so die Systemausfallzeit reduzieren und die betriebliche Effizienz verbessern.

• Reduzierte Alertermüdung: Traditionelle Überwachungssysteme überfluten häufig Benutzer mit redundanten Alerts, was zu Alertermüdung und dem Potenzial führt, kritische Probleme zu übersehen. Datenflussalerts können falsche Alerts reduzieren, indem sie einen geordneten, zeitgebundenen Kriterienfilter anwenden. Dies bedeutet, dass Sie benachrichtigt werden, wenn alle festgelegten Bedingungen erfüllt sind, wodurch unnötige Benachrichtigungsgeräusche reduziert werden.

• Anpassbare Alertsequenzen: Mit dieser einzigartigen Funktion für Ablaufalerts können Sie Ihre Alertausgabe über eine einfache Drag-and-drop-Schnittstelle definieren. Erstellen Sie einen Ablauf, der nur ausgelöst wird, wenn alle Kriterien nach Reihenfolge und Zeit erfüllt sind.

• Effiziente Fehlerbehebung: Mit der Möglichkeit, die Reihenfolge der Alerts in einem Erstellungsbereich zu visualisieren, wird die Fehlerbehebung effizienter. Sie können ohne großen Aufwand Muster identifizieren, die Ereigniskette verstehen, die zu einem Alert führt, und schnell handeln, um das Problem zu beheben.

• Optimierte Ressourcenauslastung: Durch die Reduzierung falscher Alerts und die Aktivierung der Ursachenerkennung sparen Sie Zeit und Ressourcen. Mit der Optimierung kann sich Ihr Team auf strategischere Aufgaben konzentrieren, anstatt mit einem konstanten Strom von falschen Alerts zu arbeiten.

IBM Cloud Logs stellt ein Flow-Builder-Tool bereit, mit dem benutzerdefinierte Alerts, die einen Ablaufalert auslösen, visuell kombiniert und anschließend verkettet werden können. Die Grundbausteine des Ablaufalerts sind Phasen und Gruppen.

Eine Gruppe stellt eine logische Kombination einzelner benutzerdefinierter Alerts dar. Die Gruppe unterstützt die logischen Operatoren OR, AND und NOT, um mehrere einzelne Alerts zu kombinieren.

Eine Phase stellt Alertgruppen dar, die innerhalb des angegebenen Zeitrahmens ausgelöst werden müssen. In einer Phase können mehrere Gruppen vorhanden sein.

Für Datenflussalerts gelten die folgenden Einschränkungen:

• Der Datenflussalert muss mindestens zwei Stufen aufweisen.
• Die erste Stufe eines Ablaufalerts kann nur eine Gruppe enthalten.
• Die Dauer des Zeitrahmens in allen Phasen darf 36 Stunden nicht überschreiten.
• Sie können maximal 30 Alerts zu einem einzigen Datenflussalert kombinieren.
• Die folgenden Alerttypen für Ablaufalerts unterstützen den logischen Operator NOT nicht:
  • Alerts für neue Werte
  • Alerts für eindeutige Anzahl
  • Sofort benachrichtigen
  • Standardalerts