概要

異常検知はログを分析して、ログボリュームの異常なスパイクを特定します。これは、攻撃、誤設定、暴走プロセスなどの問題を示している可能性があります。

異常検知ルールの設定方法については、「Create Rule」を参照してください。

異常検知の仕組み

異常検知ルールは以下の通りです。

• 受信したログを時間バケットに集約し、ベースラインを計算します。
  • 上限値は、最大2週間分の過去のログを使用して、最近の履歴の99.5パーセンタイルを反映します。
• 評価ごとに最新の評価ウィンドウを確認し、系列がその境界をどれだけ超えているかを測定します。
  • ウィンドウ全体で超過分が十分に大きい場合にシグナルがトリガーされます。

異常検知方法は、お客様の通常のパターンに適応し、日常的な変動によるノイズを低減します。

注記: 異常検知方法はスパイクのみを検知します。ログボリュームの減少についてはアラートを送信しません。

季節性と学習期間

このアルゴリズムは、日次および週次の季節性を自動的に考慮するため、週末の急増のような定期的なピークではアラートが発生しません。

新しいルールや新しく観測された値に対しては、短い学習期間が適用されます group by。学習期間中は、ベースラインを構築するためにデータが収集されます。

ベストプラクティス

• クエリのスコープを絞り込みます。サービス、環境、チーム、またはエンドポイントでフィルタリングして、ノイズを低減します。
• まずは管理されたデフォルトルールで広範囲をカバーし、その後、ログボリュームの大きいソースに対してカスタムの異常検知ルールを追加してください。