ログ検出¶
本ドキュメントの位置づけ
本ドキュメントは、検出ルール設定フローの第2ステップです。設定が完了したら、メインドキュメントに戻り第3ステップ：イベント通知に進んでください。
ログ検出機能は、ワークスペース内でログ収集ツールによって生成されたすべてのログデータを監視するために使用されます。ログキーワードに基づくアラートルールを設定することで、期待される動作と一致しない異常パターン（ログテキストに出現する異常ラベルやエラー率の高さなど）を迅速に特定し、潜在的なセキュリティ脅威やシステム問題を発見して対応することができます。
IT 監視シナリオにおけるコード異常やタスクスケジューリング検出などに適しています。例えば、ログエラー率の高さを監視する場合などです。
検出設定¶
検出頻度¶
検出を実行する時間間隔を設定します。
- プリセットオプション：1分、5分（デフォルト）、15分、30分、1時間、6時間、12時間、24時間
- Crontab モード：「Crontab モードに切り替える」をクリックすると、カスタム周期を設定できます。秒、分、時、日、月、週などの周期に基づいて、定時タスクの実行を設定できます。
検出期間¶
毎回の検出クエリのデータ時間範囲を設定します（❗️検出期間は検出頻度以上とし、実際のデータ報告周期と一致させる必要があります。漏れや誤検出を防ぐためです）。
- プリセットオプション：
| 検出頻度 | 検出期間（ドロップダウン選択肢） |
|---|---|
| 1m | 1m/5m/15m/30m/1h/3h |
| 5m | 5m/15m/30m/1h/3h |
| 15m | 15m/30m/1h/3h/6h |
| 30m | 30m/1h/3h/6h |
| 1h | 1h/3h/6h/12h/24h |
| 6h | 6h/12h/24h |
| 12h | 12h/24h |
| 24h | 24h |
- カスタム形式：カスタム入力で検出期間を指定します。例：20m（直近20分）、2h（直近2時間）、1d（直近1日）。
検出メトリクス¶
DQL に基づいて検出データソースと集約方法を定義し、一定の時間範囲内で、指定された検出オブジェクトのログリストに特定のキーワードが出現するログの数を監視します（❗️高カーディナリティフィールドを検出ディメンションとして選択しないでください。設定が不適切でトリガー条件が緩すぎると、頻繁なアラートが発生する可能性があります。現在のクエリの最大戻り値は10万件です）。
設定要素¶
| 設定項目 | 説明 |
|---|---|
| インデックス | 現在の検出メトリクスが属するインデックス。複数選択可能です。 ❗️ログ > インデックスでインデックスを設定した後、チャートクエリのデータソースで「ログ」を選択すると、異なるインデックスに対応するログコンテンツを選択できます。デフォルトはインデックス default です |
| ソース | 現在の検出メトリクスのデータソース。すべて（*）または特定のデータソースを選択できます |
| キーワード検索 | キーワード検索に対応しており、ログテキスト内の特定のコンテンツを照合するために使用します |
| フィルタ条件 | メトリクスのタグに基づいて検出メトリクスのデータをフィルタリングし、検出のデータ範囲を限定します。1つ以上のタグフィルターを追加できます。曖昧一致および曖昧不一致のフィルター条件をサポートします |
| 集約アルゴリズム | デフォルトで "*" が選択され、対応する関数は count（ログ数の集計）です。他のフィールドを選択すると、関数は自動的に count distinct（重複しないデータポイント数の取得）になります |
| 検出ディメンション | データ内の対応する文字列型（keyword）フィールドを検出ディメンションとして選択できます。現在、検出ディメンションは最大3つのフィールドまで選択可能です。複数の検出ディメンションフィールドの組み合わせにより、特定の検出オブジェクトを決定できます。システムは、検出オブジェクトに対応する統計メトリクスがトリガー条件のしきい値を満たすかどうかを判断し、条件を満たす場合にイベントを生成します。（例：検出ディメンションとして host と host_ip を選択した場合、検出オブジェクトは {host: host1, host_ip: 127.0.0.1} になります。）❗️検出オブジェクトが「ログ」の場合、デフォルトで status、host、service、source、filename が検出ディメンションになります |
| クエリ方式 | シンプルクエリと式クエリをサポートします。 ❗️クエリ方式が式クエリで、複数のクエリを含む場合、ログ検出オブジェクトは同一になります。例えば、式クエリAの検出オブジェクトが「ログ」の場合、式クエリBの検出オブジェクトも「ログ」になります |
詳細はクエリ方式の詳細を参照してください。
トリガー条件¶
トリガー条件と重大度を設定します。クエリ結果が複数の値である場合、いずれかの値がトリガー条件を満たすとイベントが生成されます。
致命的、重大、重要、警告の4段階のしきい値と、正常回復条件を設定できます。
| レベル | 設定 | 説明 |
|---|---|---|
| 致命的 | Result >= [値] の場合 |
最高レベルのアラート。即時対応が必要です |
| 重大 | Result >= [値] の場合 |
高レベルのアラート。優先的に対応が必要です |
| 重要 | Result >= [値] の場合 |
中レベルのアラート。注意が必要です |
| 警告 | Result >= [値] の場合 |
低レベルのアラート。留意が必要です |
| 正常 | [N] 回の検出でイベントが未発生 |
検出ルールが有効になった後、設定したカスタム検出回数内で、データの検出結果が異常（致命的、重大、重要、警告）から正常に戻った場合、回復アラートイベントがトリガーされます。 ❗️ 回復アラートイベントはアラートミュートの制限を受けません。回復アラートイベントの検出回数が設定されていない場合、アラートイベントは回復されず、イベント > 未復旧イベント一覧に表示され続けます |
詳細は、イベントレベルの説明を参照してください。
連続トリガー判定¶
有効にすると、トリガー条件を継続的に満たした場合にのみイベントが生成されるため、一時的な変動による誤検出を防ぎます（❗️最大設定上限は10回です）。
大量アラート保護¶
システムはデフォルトで有効です。
単一の検出で生成されるアラート数が事前設定されたしきい値を超えると、システムは自動的にステータス別集約ポリシーに切り替わります。アラートオブジェクトを個別に処理するのではなく、イベントステータスに基づいて少数のサマリアラートを生成し、プッシュします。
これにより、通知の即時性を確保しつつ、アラートノイズを大幅に削減し、過剰なアラート処理によるタイムアウトリスクを回避できます。
このスイッチが有効な場合、後続のモニターが異常を検出した後に生成されるこの種のイベント詳細には、履歴レコードや関連イベントは表示されません。
データ欠落¶
検出メトリクスの検出期間内のクエリ結果が空の場合の処理ポリシー：
| オプション | 説明 |
|---|---|
| イベントをトリガーしない（デフォルト） | 検出期間の時間範囲に連動し、検出メトリクスの直近数分間のクエリ結果に基づいて、イベントを生成するかどうかを判断します。データ欠落が許容されるシナリオに適しています |
| クエリ結果を0とみなす | 検出期間の時間範囲に連動し、検出メトリクスの直近数分間のクエリ結果を0とみなして、上記のトリガー条件で設定されたしきい値と再度比較し、異常イベントをトリガーするかどうかを判断します |
| カスタム入力でイベントをトリガー | 検出期間の値をカスタム入力で設定し、以下のイベントタイプをそれぞれトリガーできます：データ欠落イベント、致命的イベント、重大イベント、重要イベント、警告イベント、および回復イベント。 ❗️このポリシーを選択する場合、カスタムのデータ欠落時間は 検出期間の間隔以上 に設定することを推奨します。設定時間が検出期間の間隔以下の場合、データ欠落と異常が同時に満たされる可能性があり、その場合はデータ欠落の処理結果が優先されます |
トリガー条件、データ欠落、情報生成を同時に設定する場合、以下の優先順位でトリガーを判断します：データ欠落 > トリガー条件 > 情報イベント生成。
つまり、最初にデータ欠落の有無を判断し、次にしきい値トリガーの有無を判断し、最後に情報イベントの生成の有無を判断します。
情報生成¶
このオプションを有効にすると、情報生成条件を設定する必要があります。検出結果が「致命的」「重大」「重要」「警告」のいずれのしきい値にもトリガーせず、情報生成条件を満たす場合にのみ、システムは「情報」イベントを書き込みます。
正常な状態変化や低優先度の情報を記録する必要があるシナリオに適しています。
後続設定¶
上記の検出設定が完了したら、次の設定を続けてください：