Configuration des alertes de nouvelles valeurs

L'alerte de nouvelle valeur est déclenchée par la première occurrence d'une nouvelle valeur dans un intervalle de temps. Toutes les valeurs sont testées par rapport à une liste créée dynamiquement lorsque l'alerte est active. L'alerte est déclenchée par une requête spécifique qui identifie un sous-ensemble de journaux (si nécessaire), et est définie avec une clé pour suivre les nouvelles valeurs dans l'intervalle souhaité.

Dans de nombreux cas d'utilisation, cette alerte vous permet de détecter automatiquement un éventuel comportement anormal au sein de votre système.

Exemple :

Sécurité : Une alerte peut être déclenchée par une nouvelle connexion de domaine.

Surveillance : Une alerte peut être déclenchée par un nouveau code d'erreur d'application. De nombreuses applications envoient un champ error_code. Une nouvelle valeur pour ce champ indique un nouveau problème avec l'application.

Considérations relatives aux nouvelles alertes de valeur

  • Une nouvelle alerte ou une alerte actualisée devient active après la période la plus courte entre la fenêtre de temps configurée pour l'alerte et 7 jours. Cela permet à IBM Cloud Logs de s'entraîner sur l'ensemble des différentes valeurs, d'établir une base de référence et d'essayer d'éviter les fausses notifications.

  • L'alerte peut suivre jusqu'à 50K valeurs uniques dans la fenêtre temporelle définie. Lorsque la liste des valeurs capturées atteint 50K, l'alerte n'est pas déclenchée tant que les valeurs ne sont pas effacées de la liste. Une valeur est supprimée de la liste lorsque son âge dans la liste est égal à la fenêtre de temps d'alerte. La première détection de cette valeur après sa suppression déclenchera une alerte.

  • Les 255 premiers caractères seront utilisés comme valeur. Par exemple, si 2 valeurs ont les mêmes 255 premiers caractères, elles seront considérées comme étant la même valeur.

  • Il y a une période de "silence" de 5 minutes après le déclenchement de l'alerte. Pendant ce temps, de nouvelles valeurs seront ajoutées à la liste, mais l'alerte ne sera pas déclenchée.

Configuration requise

  • Pour en savoir plus sur les alertes, consultez IBM Cloud Logs Pour plus d'informations, voir Alerting.
  • Vérifiez que vous disposez d'une instanceEvent Notifications dans le même compte que votre instance IBM Cloud Logs et des permissions pour configurer les ressources dans l'instance Event Notifications.
  • Vérifier que l'intégration sortante entre l'instance IBM Cloud Logs et l'instance Event Notifications est configurée. Pour plus d'informations, voir Configuration de la connexion d'une intégration sortante.

Lancer la gestion des alertes

Procédez comme suit :

  1. Dans la console, cliquez sur l'icône Menu de navigation Icône Menu de navigation > Liste des ressources.
  2. Sélectionnez votre instance IBM Cloud Logs.
  3. Dans la navigation IBM Cloud Logs, cliquez sur l'icône Alertes Icône Alertes > Gestion des alertes.
  4. Cliquez sur Nouvelle alerte.

Choisissez le type d'alerte à configurer

Procédez comme suit :

  1. Choisissez le type d'alerte. Pour plus d'informations, voir les types d'alerte.

  2. Dans la section Détails, effectuez les étapes suivantes :

    1. Entrez un nom.

      • La longueur maximale du nom est de 4096 caractères.

    2. [Facultatif] Saisir une description.

      • La longueur maximale de la description est de 4096 caractères.

    3. [Facultatif] Ajouter une ou plusieurs étiquettes.

      Les étiquettes sont des paires clé/valeur que vous pouvez utiliser ultérieurement pour une recherche rapide.

Spécifiez les journaux qui seront analysés en fonction des critères de filtrage

Effectuez les étapes suivantes pour spécifier les journaux qui seront analysés en fonction des critères de filtrage :

  1. Spécifiez une requête de recherche Lucene pour spécifier les journaux qui seront renvoyés dans le cadre de l'alerte.

    Vous pouvez définir une requête qui filtre sur la base d'une chaîne de texte libre. Par exemple, pour déclencher une alerte lorsque des requêtes POST ayant un code de retour de 403 sont identifiées, vous pouvez saisir "POST 403" comme requête de recherche. La requête recherchera les journaux qui contiennent les valeurs 403 et POST.

    Vous pouvez définir une requête qui filtre les journaux dans lesquels un champ spécifique correspond à la valeur de la requête. Par exemple, vous pouvez définir une requête pour rechercher la valeur production dans le champ environnement : environment:"production"

    Vous pouvez définir une requête qui filtre les journaux dans lesquels un champ spécifique correspond à une plage de valeurs numériques utilisant le format [START_VALUE TO END_VALUE] Par exemple, pour rechercher les journaux qui ont des codes d'état 2xx pour un champ RC, vous pouvez utiliser la requête : rc.numeric:[400 TO 499]

    Vous pouvez définir une requête qui filtre les journaux dont un champ spécifique correspond à une expression régulièreRegEx Entourer l'expression RegEx d'un / Par exemple, vous pouvez définir une requête pour rechercher différentes régions, telles que west-europe-1, west-europe-2, west-us-1 dans une région de champ : region:/west-(europe|us)-[12]/

    Vous pouvez définir des requêtes complexes qui utilisent les opérateurs booléens AND, OR et NOT. Par exemple, vous pouvez définir une requête telle que environment:"production" AND status.numeric:[400 TO 499] NOT region:/west-(europe|us)-[12]/

  2. Ajoutez un filtrage supplémentaire des journaux en choisissant une ou plusieurs applications.

  3. Ajoutez un filtrage supplémentaire des journaux en choisissant un ou plusieurs sous-systèmes.

  4. Ajoutez un filtrage supplémentaire des journaux en choisissant une ou plusieurs catégories de journaux.

    Les valeurs valides sont: Debug, Verbose, Info, Warning, Error et Critical.

Spécifier la condition de déclenchement

Spécifiez la condition de déclenchement qui est évaluée par rapport aux données incluses dans l'analyse de cette alerte.

Dans la section Conditions, configurez votre condition de déclenchement :

Dans Touche à suivre, sélectionnez la touche que vous souhaitez surveiller pour l'alerte.

Dans Notify on new value in the last, sélectionnez la période à surveiller.

Si une nouvelle valeur est détectée pour la clé au cours de la période sélectionnée, l'alerte est déclenchée.

Dans Group By, vous pouvez configurer jusqu'à 2 champs JSON dont les valeurs sont agrégées et déterminent le déclenchement d'une alerte.

  • Une alerte est déclenchée lorsque l'une des valeurs agrégées dépasse le seuil configuré dans la section des conditions de filtrage dans le délai spécifié.

  • Une alerte est déclenchée lorsque le seuil de condition est atteint pour une valeur agrégée spécifique dans le délai spécifié.

  • Si vous configurez 2 valeurs, les journaux correspondants seront d'abord agrégés par le champ parent, puis par le champ enfant. Une alerte est déclenchée lorsque le seuil atteint la combinaison unique du parent et de l'enfant.

Configurer les détails de la notification

Procédez comme suit :

  1. Configurez Notify every pour définir la fréquence à laquelle vous souhaitez recevoir un événement une fois l'alerte déclenchée. La valeur par défaut est de 0 heure et 10 minutes.

  2. Activez l'option Résoudre automatiquement pour obtenir un événement lorsque l'événement a été résolu.

    Lorsque la condition de l'alerte ne déclenche plus d'événements, l'événement initialement déclenché est marqué comme résolu.

  3. Activer Activer le mode fantôme pour indiquer que cette alerte est une alerte fantôme.

    Une alerte fantôme sert d'élément de base pour les alertes de flux.

    Une alerte fantôme ne déclenche pas de notifications d'événements indépendants.

    Lorsque vous activez cette option, la section Notifications est supprimée de la définition de l'alerte.

  4. Ajouter une intégration.

    Vous devez avoir défini une intégration sortante pour pouvoir ajouter une intégration. Pour plus d'informations, voir Configuration de l'intégration avec le service de Event Notifications

Établir un calendrier et déterminer le contenu du journal à inclure

Procédez comme suit :

  1. Dans la section Calendrier, définissez un calendrier pour contrôler le moment où cette alerte est activée. Vous pouvez choisir des jours et des heures spécifiques.

  2. Dans la section Contenu de la notification, indiquez si vous souhaitez inclure un exemple de ligne de journal ou seulement certains champs dans l'événement déclenché.

    Choisissez des clés JSON spécifiques à inclure dans la notification d'alerte, ou laissez ce champ vide pour inclure le texte complet du journal dans le message d'alerte :

    • Option 1 : Laisser vide pour inclure une ligne de journal qui correspond aux conditions de filtrage de l'alerte.

    • Option 2 : Spécifier des clés JSON pour inclure les champs sélectionnés dans le format des paires clé/valeur. Notez que pour pouvoir ajouter des champs, vos enregistrements doivent être au format JSON.

      Les clés JSON contenant un . dans leur nom ne peuvent pas être utilisées comme champs sélectionnés.

    • Option 3 : Spécifier un chemin JSON comme filtre.

Lorsqu'une alerte est déclenchée, la quantité de données incluses dans l'événement est limitée. Pour plus d'informations sur ces limitations, voir Taille des données.

Sauvegarder la configuration de l'alerte

Procédez comme suit :

  1. Vérifier l'alerte.

    Cliquez sur Vérifier pour évaluer les données et savoir combien de fois l'alerte a correspondu aux critères au cours des dernières 24 heures.

    Verify évalue uniquement les données du pipeline Informations de priorité Si votre alerte est configurée pour se déclencher sur des données disponibles dans le pipeline Analyser et alerter, vous remarquerez que cette fonctionnalité n'est pas disponible.

  2. Cliquez sur Créer une alerte.

Vérification de l'alerte

Déclencher une alerte. Une fois qu'une alerte est déclenchée et traitée, le système envoie des notifications aux utilisateurs ou aux équipes désignés par le biais de différents canaux tels que le courrier électronique, Slack, les SMS ou les plateformes intégrées de gestion des incidents. Vous pouvez ensuite accéder à la page Incidents pour obtenir des informations sur les alertes déclenchées. Pour plus d'informations, voir Gestion des alertes déclenchées dans IBM Cloud Logs