Como Análise de logs de integridade gera alertas
Análise de logs de integridade identifica padrões em seus dados de log e aprende o comportamento do padrão. Quando HLA O mecanismo de IA do detecta um comportamento anômalo, ele envia um evento para ServiceNow Gestão de eventos aplicação. Como operador, você pode usar esses alertas preditivos para lidar com problemas DE TI emergentes antes que eles afetem os usuários.
Detecção de anomalias em log
Existem muitos tipos de comportamento anômalo (anormal ou inesperado). Neste exemplo, o sistema rastreia a taxa de linha de base (o número médio de eventos por minuto) de mensagens específicas. O gráfico mostra os valores do dia anterior como a área levemente sombreada de pêssego e os valores de hoje como uma linha azul. O gráfico mostra um desvio dramático dos valores de linha de base esperados em torno de 10:10. Este comportamento anômalo gera um alerta.
Análise de logs de integridade usa vários métodos para detectar anomalias e gerar alertas.
Métricas de alerta
Análise de logs de integridade monitora várias métricas no fluxo de log para detectar comportamento anômalo. Cada métrica está associada a uma origem exclusiva: A combinação de instância de serviço e componente. Quando o sistema identifica um padrão anômalo para uma métrica, ele gera um alerta.
Como operador, você pode fornecer feedback sobre os alertas gerados. Seu feedback "ensina" Análise de logs de integridade que um alerta específico é significativo ou irrelevante para você. Em seguida, a aplicação aumenta a prioridade da métrica de alerta ou a silencia para reduzir o ruído.
- Um alerta significativo tem mais probabilidade de ser incluído em um grupo de Análise de log quando a métrica associada se comporta de forma anormal. Para obter mais informações, consulte Marque um alerta como significativo em Análise de logs de integridade.
- Silencie um alerta de uma origem especificada para eliminar novos alertas que distraem problemas sem importância. Quando uma métrica é silenciada, Análise de logs de integridade remove o alerta atual e todos os outros alertas com base nessa métrica do feed. Ele também para de gerar novos alertas a partir dessa métrica. Para obter mais informações, consulte Silencie um alerta sem importância em Análise de logs de integridade.
- Quando a situação muda, você pode retornar uma métrica significativa à significância padrão. Você também pode reativar uma métrica silenciada para fazer com que o sistema comece a gerar alertas novamente. Para obter mais informações, consulte Restaure a importância normal para uma métrica de alerta em Análise de logs de integridade.
Palavras-chave lexical
Análise de logs de integridade verifica os logs em busca de palavras que podem indicar problemas importantes. Palavras-chave lexicais, como "travado" ou "com falha", sinalizam uma condição que pode merecer atenção.
O sistema define um limite para cada palavra-chave lexical que é baseado no que ele considera o padrão de ocorrência normal e a frequência dessa palavra-chave em seus logs. Quando verifica seus logs, ele encontra todas as ocorrências da palavra-chave. Se o número exceder o limite, ele gerará um alerta. Para obter mais informações, consulte Exiba as palavras-chave lexical que geram alertas em Análise de logs de integridade.
Para obter informações sobre como gerenciar palavras-chave globais, consulte Adicione, edite ou exclua palavras-chave lexical em Análise de logs de integridade. Para criar ou excluir palavras-chave para um tipo de origem específico, consulte Configure capacidades de tipo de origem em Análise de logs de integridade.
Correlações
Correlacionadores de log são chaves ou valores nos dados de log que detectam correlação entre alertas. Por exemplo, um correlacionador de log pode detectar quando o ID de um dispositivo de rede específico ocorre simultaneamente em vários avisos em diferentes instâncias de serviço. Para obter mais informações, consulte Identificar alertas relacionados em dados de log usando correlacionadores de log.
Filtragem avançada de alertas
Adicione filtros de alerta de log avançados para verificar alertas em busca de condições especificadas. Os filtros reduzem o ruído soltando alertas que não indicam um problema significativo. Ao desenvolver um filtro, você pode testar, atualizar, publicar ou ativar o filtro a qualquer momento. Para obter mais informações, consulte Criar filtros de alerta de log avançados.
Regras de alerta personalizadas
Defina uma regra de alerta do Log Analytics quando encontrar dados de log que devem gerar um alerta. A regra de alerta gera um alerta para uma métrica especificada com um limite que você especifica e define as propriedades do alerta gerado. Para obter mais informações, consulte Adicione um Análise de logs regra de alerta em Análise de logs de integridade.