新値アラートの設定

新値アラートは、時間間隔内に新値が最初に発生した場合にトリガーされる。すべての値は、アラートがアクティブである間に動的に作成されるリストに対してテストされます。アラートは、（必要であれば）ログのサブセットを特定する特定のクエリによって設定され、希望するインターバル内の新しい値を追跡するためのキーで定義される。

多くの使用例では、このアラートによって、システム内の異常動作の可能性を自動的に検出することができます。

以下に例を示します。

セキュリティアラートは新しいドメイン接続によってトリガーされるかもしれない。

モニタリングアラートは、新しいアプリケーションエラーコードによってトリガーされるかもしれない。多くのアプリケーションは、 error_code フィールドを送信する。このフィールドの新しい値は、アプリケーションの新しい問題を示します。

新しいバリュー・アラートに関する考察

新しいアラートまたは更新されたアラートは、設定されたアラート時間ウィンドウまたは7日間のいずれか短い方の後にアクティブになります。これは、 IBM Cloud Logs、異なる値のセットでトレーニングし、ベースラインを把握し、誤った通知を防ぐようにするためだ。
アラートは、定義された時間ウィンドウ内で最大 50K ユニークな値を追跡することができます。キャプチャされた値のリストが 50K、リストから値がクリアされるまでアラートはトリガされません。リスト内の年齢が警告時間ウィンドウと同じになると、値はリストから消去される。この値が削除された後、最初に検出されるとアラートが発生する。
最初の255文字が値として使われる。例えば、最初の255文字が同じ2つの値があれば、それらは同じ値とみなされる。
警報が作動してから5分間の「沈黙」期間がある。この間、新しい値がリストに追加されるが、アラートは作動しない。

前提条件

アラートについてはIBM Cloud Logsを参照してください。詳細については、アラートを参照してください。
Event Notificationsインスタンスが IBM Cloud Logsインスタンスと同じアカウントにあり、Event Notificationsインスタンスにリソースを設定する権限があることを確認してください。
IBM Cloud LogsインスタンスとEvent Notificationsインスタンス間のアウトバウンド統合が構成されていることを確認する。詳細については、接続するアウトバウンドインテグレーションを設定するを参照してください。

起動アラート管理

以下のステップを実行します。

コンソールで、 ナビゲーション・メニュー・アイコン > Resource list をクリックする。
IBM Cloud Logs のインスタンスを選択します。
IBM Cloud Logsナビゲーションで、アラートアイコン >アラー管理をトクリックします。
新しいアラートをクリックします。

設定するアラートの種類を選択する

以下のステップを実行します。

アラートの種類を選択します。詳細については、「アラートの種類」を参照してください。
Details セクションで、以下のステップを完了する：
1. 名前を入力します。
  - 名前の最大長は4096文字。
2. [オプション]説明文を入力します。
  - 説明文の最大長は4096文字です。
3. [オプション] 1つ以上のラベルを追加する。
  
  ラベルは、後で簡単に検索するために使用できるキーと値のペアです。

フィルタリング基準に照らして分析されるログを指定します

フィルタリング基準に照らして分析するログを指定するには、以下の手順を実行します：

アラートの一部として返されるログを指定するために、 Lucene 検索クエリを指定します。

フリー・テキスト文字列に基づいてフィルタリングするクエリを定義できます。例えば、リターンコードが403のPOSTリクエストが識別されたときにアラートをトリガーするには、検索クエリーとして "POST 403" を入力します。クエリーは、値 403 と POST を含むログを探す。

特定のフィールドがクエリの値と一致するログをフィルタリングするクエリを定義できます。例えば、environmentフィールドのproductionという値を検索するクエリを定義することができます： environment:"production"

特定のフィールドが数値の範囲に一致するログをフィルタリングするクエリを、[START_VALUE TO END_VALUE] という書式を使って定義することができます。例えば、フィールド RC に対して 2xx ステータスコードを持つログを検索するには、クエリーを使用することができる： rc.numeric:[400 TO 499]

特定のフィールドが正規表現RegEx）に一致するログをフィルタリングするクエリを定義できます。 RegEx式を / で囲む。たとえば、フィールド領域で west-europe-1, west-europe-2, west-us-1 のような異なる領域を検索するクエリを定義することができます：region:/west-(europe|us)-[12]/

ブール演算子 AND、 OR、 NOT を使用する複雑なクエリーを定義することができます。たとえば、次のようなクエリーを定義できます environment:"production" AND status.numeric:[400 TO 499] NOT region:/west-(europe|us)-[12]/
1つ以上のアプリケーションを選択して、ログのフィルタリングを追加します。
1つ以上のサブシステムを選択して、ログのフィルタリングを追加する。
1つ以上のログの厳しさを選択して、ログのフィルタリングを追加します。

有効な値は、Debug、Verbose、Info、Warning、Error、および Critical です。

トリガー条件の指定

このアラートの分析に含まれるデータに対して評価されるトリガー条件を指定します。

Conditions セクションで、トリガー条件を設定する：

追跡するキー] で、アラートを監視するキーを選択します。

Notify on new value in the lastで監視する期間を選択する。

選択された期間内にキーに新しい値が検出されると、アラートがトリガーされます。

Group By では、最大2つのJSONフィールドを設定でき、その値が集計され、アラートがトリガーされるタイミングを決定します。

集計された値のいずれかが、指定された時間枠内にフィルタリング条件セクションで設定されたしきい値を超えて表示された場合、アラートがトリガーされます。
アラートは、指定された時間枠内で特定の集計値について条件しきい値を満たした場合にトリガーされます。
2つの値を設定すると、一致するログはまず親フィールドで集計され、次に子フィールドで集計されます。アラートは、しきい値が親と子の両方のユニークな組み合わせを満たしたときに発せられる。

通知の詳細を設定する

以下のステップを実行します。

Notify every を設定して、アラートがトリガーされた後のイベント取得頻度を定義します。デフォルトでは0時間10分に設定されている。
Resolve automaticallyを有効にすると、イベントが解決されたときにイベントを取得します。

アラートの条件がイベントをトリガーしなくなると、最初にトリガーされたイベントは解決済みとしてマークされる。
Enableファントムモードを有効にして、このアラートがファントムアラートであることを示す。

ファントムアラートは、フローアラートのビルディングブロックとして機能する。

ファントムアラートは、独立したイベント通知をトリガーしない。

このオプションを有効にすると、アラート定義から通知セクションが削除されます。
統合を追加する。

統合を追加するには、送信統合が定義されている必要があります。詳細については、Event Notificationsサービスとの統合を設定するを参照してください。

スケジュールと含めるログの内容を設定する

以下のステップを実行します。

*スケジュール]*セクションで、このアラートを有効にするタイミングを制御するスケジュールを設定します。特定の曜日と時間を選ぶことができる。
*Notification Content（通知内容）*セクションでは、トリガーされたイベントにログ行のサンプルを含めるか、一部のフィールドのみを含めるかを定義します。

アラート通知に含める特定のJSONキーを選択するか、アラートメッセージにログテキスト全体を含めるには空白のままにします：
- オプション1：アラートのフィルタリング条件に一致するログ行を1行含めるには、空白のままにします。
- オプション2：JSONキーを指定し、key:valueのペアの形式で選択したフィールドを含める。フィールドを追加するには、ログ記録がJSON形式でなければならないことに注意してください。
  
  名前に . を含む JSON キーは、選択フィールドとして使用できません。
- オプション3：フィルターとしてJSONパスを指定する。

アラートがトリガーされると、イベントに含まれるデータ量には制限がある。これらの制限の詳細については、データサイズを参照。

アラート設定を保存する

以下のステップを実行します。

警告を確認する。

Verify（検証）」をクリックしてデータを評価し、過去24時間にアラートが何回条件に一致したかを調べます。

Verifyは優先順位の洞察パイプラインのデータのみを評価する。アラートが分析とアラートパイプラインで利用可能なデータでトリガーされるように構成されている場合、この機能は利用できないことに注意してください。
**「アラートの作成」**をクリックします。

アラートの確認

アラートを作動させる。アラートがトリガーされ処理されると、システムは、電子メール、Slack、SMS、または統合されたインシデント管理プラットフォームなどのさまざまなチャネルを通じて、指定されたユーザーまたはチームに通知を送信します。その後、*「インシデント」*ページに移動し、トリガーされたアラートに関する情報を見ることができます。詳細については、IBM Cloud Logsのトリガーされたアラートの管理を参照してください。