Configuration des alertes de comptage unique

Alors que les volumes de données augmentent et que le nombre d'alertes générées par les journaux, les mesures et les systèmes de sécurité croît de manière exponentielle, l'un des indicateurs les plus puissants de l'importance de l'alerte est le nombre d'éléments concernés par l'alerte. Les exemples peuvent inclure : le nombre d'utilisateurs qui ont rencontré une erreur 5XX lors de l'appel d'une API, le nombre de groupes de consommateurs Kafka qui ont renvoyé des erreurs, le nombre d'emplacements CDN qui chargent actuellement votre site pendant plus de 3 secondes, ou le nombre de mots de passe différents avec lesquels un seul utilisateur tente de se connecter à la console de votre service en nuage.

L'alerte de comptage unique est déclenchée sur la base du nombre de valeurs uniques associées à une clé spécifiée dans les journaux correspondant aux critères de la requête.

Ce type d'alerte peut vous aider à comprendre la gravité ou l'étendue d'un problème potentiel sans avoir à analyser les données ou les tableaux de bord.

Configuration requise

  • Pour en savoir plus sur les alertes, consultez IBM Cloud Logs Pour plus d'informations, voir Alerting.
  • Vérifiez que vous disposez d'une instanceEvent Notifications dans le même compte que votre instance IBM Cloud Logs et des permissions pour configurer les ressources dans l'instance Event Notifications.
  • Vérifier que l'intégration sortante entre l'instance IBM Cloud Logs et l'instance Event Notifications est configurée. Pour plus d'informations, voir Configuration de la connexion d'une intégration sortante.

Lancer la gestion des alertes

Procédez comme suit :

  1. Dans la console, cliquez sur l'icône Menu de navigation Icône Menu de navigation > Liste des ressources.
  2. Sélectionnez votre instance IBM Cloud Logs.
  3. Dans la navigation IBM Cloud Logs, cliquez sur l'icône Alertes Icône Alertes > Gestion des alertes.
  4. Cliquez sur Nouvelle alerte.

Choisissez le type d'alerte à configurer

Procédez comme suit :

  1. Choisissez le type d'alerte. Pour plus d'informations, voir les types d'alerte.

  2. Dans la section Détails, effectuez les étapes suivantes :

    1. Entrez un nom.

      • La longueur maximale du nom est de 4096 caractères.

    2. [Facultatif] Saisir une description.

      • La longueur maximale de la description est de 4096 caractères.

    3. [Facultatif] Ajouter une ou plusieurs étiquettes.

      Les étiquettes sont des paires clé/valeur que vous pouvez utiliser ultérieurement pour une recherche rapide.

Spécifiez les journaux qui seront analysés en fonction des critères de filtrage

Effectuez les étapes suivantes pour spécifier les journaux qui seront analysés en fonction des critères de filtrage :

  1. Spécifiez une requête de recherche Lucene pour spécifier les journaux qui seront renvoyés dans le cadre de l'alerte.

    Vous pouvez définir une requête qui filtre sur la base d'une chaîne de texte libre. Par exemple, pour déclencher une alerte lorsque des requêtes POST ayant un code de retour de 403 sont identifiées, vous pouvez saisir "POST 403" comme requête de recherche. La requête recherchera les journaux qui contiennent les valeurs 403 et POST.

    Vous pouvez définir une requête qui filtre les journaux dans lesquels un champ spécifique correspond à la valeur de la requête. Par exemple, vous pouvez définir une requête pour rechercher la valeur production dans le champ environnement : environment:"production"

    Vous pouvez définir une requête qui filtre les journaux dans lesquels un champ spécifique correspond à une plage de valeurs numériques utilisant le format [START_VALUE TO END_VALUE] Par exemple, pour rechercher les journaux qui ont des codes d'état 2xx pour un champ RC, vous pouvez utiliser la requête : rc.numeric:[400 TO 499]

    Vous pouvez définir une requête qui filtre les journaux dont un champ spécifique correspond à une expression régulièreRegEx Entourer l'expression RegEx d'un / Par exemple, vous pouvez définir une requête pour rechercher différentes régions, telles que west-europe-1, west-europe-2, west-us-1 dans une région de champ : region:/west-(europe|us)-[12]/

    Vous pouvez définir des requêtes complexes qui utilisent les opérateurs booléens AND, OR et NOT. Par exemple, vous pouvez définir une requête telle que environment:"production" AND status.numeric:[400 TO 499] NOT region:/west-(europe|us)-[12]/

  2. Ajoutez un filtrage supplémentaire des journaux en choisissant une ou plusieurs applications.

  3. Ajoutez un filtrage supplémentaire des journaux en choisissant un ou plusieurs sous-systèmes.

  4. Ajoutez un filtrage supplémentaire des journaux en choisissant une ou plusieurs catégories de journaux.

    Les valeurs valides sont: Debug, Verbose, Info, Warning, Error et Critical.

Spécifier la condition de déclenchement

Spécifiez la condition de déclenchement qui est évaluée par rapport aux données incluses dans l'analyse de cette alerte.

Dans la section Conditions, vous devez configurer Compte unique par clé, Valeurs uniques maximales et Dans le délai.

  1. Dans Comptage unique par touche, sélectionnez la touche que vous souhaitez surveiller.

  2. Pour Max unique values, spécifiez le nombre maximum de valeurs uniques pour le Unique count by key key dans la période surveillée avant que l'alerte ne soit déclenchée.

  3. Pour Dans la période, sélectionnez la période à surveiller pour les valeurs uniques. L'intervalle de temps peut être choisi entre 1 minute et 36 hours.

Vous pouvez également regrouper les valeurs de la clé spécifiée par Compte unique par clé par une deuxième clé en sélectionnant Grouper le compte unique par clé spécifique et en configurant ensuite ce qui suit :

  1. Dans Grouper par clé, sélectionnez la clé à utiliser pour regrouper les valeurs de la clé spécifiée dans Comptage unique par clé.

  2. En utilisant le curseur Max unique values for group by key, indiquez les valeurs uniques qui sont regroupées par Group by key. La valeur Max unique count ne doit pas dépasser est calculée en fonction de votre sélection de curseurs. Étant donné que le décompte global maximum est limité à 10000, les valeurs du décompte unique maximum ne doivent pas dépasser la valeur affichée multipliée par la valeur des valeurs uniques.

Par exemple, si les valeurs uniques sont de 663, le nombre maximal de valeurs uniques ne doit pas dépasser 15 puisque 663 * 15 = 9945. Dans ce cas, un nombre maximum de valeurs uniques à ne pas dépasser de 16 serait supérieur au nombre maximum global autorisé de 10000.

Lorsque le seuil " Max unique count values should not exceed" est atteint pour le groupe de clés, l'alerte est déclenchée.

Configurer les détails de la notification

Procédez comme suit :

  1. Configurez Notify every pour définir la fréquence à laquelle vous souhaitez recevoir un événement une fois l'alerte déclenchée. La valeur par défaut est de 0 heure et 10 minutes.

  2. Activez l'option Résoudre automatiquement pour obtenir un événement lorsque l'événement a été résolu.

    Lorsque la condition de l'alerte ne déclenche plus d'événements, l'événement initialement déclenché est marqué comme résolu.

  3. Activer Activer le mode fantôme pour indiquer que cette alerte est une alerte fantôme.

    Une alerte fantôme sert d'élément de base pour les alertes de flux.

    Une alerte fantôme ne déclenche pas de notifications d'événements indépendants.

    Lorsque vous activez cette option, la section Notifications est supprimée de la définition de l'alerte.

  4. Ajouter une intégration.

    Vous devez avoir défini une intégration sortante pour pouvoir ajouter une intégration. Pour plus d'informations, voir Configuration de l'intégration avec le service de Event Notifications

Établir un calendrier et déterminer le contenu du journal à inclure

Procédez comme suit :

  1. Dans la section Calendrier, définissez un calendrier pour contrôler le moment où cette alerte est activée. Vous pouvez choisir des jours et des heures spécifiques.

  2. Dans la section Contenu de la notification, indiquez si vous souhaitez inclure un exemple de ligne de journal ou seulement certains champs dans l'événement déclenché.

    Choisissez des clés JSON spécifiques à inclure dans la notification d'alerte, ou laissez ce champ vide pour inclure le texte complet du journal dans le message d'alerte :

    • Option 1 : Laisser vide pour inclure une ligne de journal qui correspond aux conditions de filtrage de l'alerte.

    • Option 2 : Spécifier des clés JSON pour inclure les champs sélectionnés dans le format des paires clé/valeur. Notez que pour pouvoir ajouter des champs, vos enregistrements doivent être au format JSON.

      Les clés JSON contenant un . dans leur nom ne peuvent pas être utilisées comme champs sélectionnés.

    • Option 3 : Spécifier un chemin JSON comme filtre.

Lorsqu'une alerte est déclenchée, la quantité de données incluses dans l'événement est limitée. Pour plus d'informations sur ces limitations, voir Taille des données.

Sauvegarder la configuration de l'alerte

Procédez comme suit :

  1. Vérifier l'alerte.

    Cliquez sur Vérifier pour évaluer les données et savoir combien de fois l'alerte a correspondu aux critères au cours des dernières 24 heures.

    Verify évalue uniquement les données du pipeline Informations de priorité Si votre alerte est configurée pour se déclencher sur des données disponibles dans le pipeline Analyser et alerter, vous remarquerez que cette fonctionnalité n'est pas disponible.

  2. Cliquez sur Créer une alerte.

Vérification de l'alerte

Déclencher une alerte. Une fois qu'une alerte est déclenchée et traitée, le système envoie des notifications aux utilisateurs ou aux équipes désignés par le biais de différents canaux tels que le courrier électronique, Slack, les SMS ou les plateformes intégrées de gestion des incidents. Vous pouvez ensuite accéder à la page Incidents pour obtenir des informations sur les alertes déclenchées. Pour plus d'informations, voir Gestion des alertes déclenchées dans IBM Cloud Logs