구간 감지¶
현재 문서의 위치
이 문서는 감지 규칙 구성 프로세스의 두 번째 단계입니다. 구성을 완료한 후, 기본 문서로 돌아가 3단계: 이벤트 알림을 계속 진행하세요.
선택한 시간 범위 내에서 시스템은 메트릭 데이터에 대해 이상 감지를 수행합니다. 감지된 데이터 포인트 중 돌변 이상 비율이 사전 설정된 임계값 백분율을 초과하면 구간 이상 이벤트가 트리거됩니다.
추세가 안정적인 데이터/메트릭을 모니터링하는 데 적합합니다. 예를 들어, 최근 1일 동안 호스트 CPU 사용률의 돌변 이상 데이터 포인트 비율이 10%를 초과하면 이상 이벤트가 생성됩니다.
감지 구성¶
감지 빈도¶
감지를 실행하는 시간 주기를 설정합니다. 선택한 감지 구간에 자동으로 매핑됩니다.
| 감지 구간(드롭다운 옵션) | 감지 빈도 |
|---|---|
| 15m | 5m |
| 30m | 5m |
| 1h | 15m |
| 4h | 30m |
| 12h | 1h |
| 1d | 1h |
감지 구간¶
각 감지 시 쿼리할 데이터의 시간 범위를 설정합니다(❗️감지 구간은 감지 빈도보다 크거나 같아야 하며, 실제 데이터 보고 주기와 일치해야 합니다. 그렇지 않으면 누락 또는 오탐지가 발생할 수 있습니다.).
-
사전 정의 옵션: 최근 15분, 최근 30분, 최근 1시간, 최근 4시간, 최근 12시간, 최근 1일
-
사용자 정의 형식: 감지 구간을 직접 입력합니다. 예:
20m(최근 20분),2h(최근 2시간),1d(최근 1일).
감지 메트릭¶
DQL을 기반으로 감지 데이터 소스 및 집계 방식을 정의합니다(❗️고카디널리티 필드를 탐지 차원으로 선택하지 마십시오. 구성이 부적절하면 트리거 조건이 너무 느슨해져 빈번한 알림이 발생할 수 있습니다. 현재 쿼리 최대 반환 개수는 10만 개 레코드입니다.).
구성 요소¶
| 구성 항목 | 설명 |
|---|---|
| 워크스페이스 | 기본값은 현재 워크스페이스이며, 권한이 있는 다른 워크스페이스로 전환할 수 있습니다. 권한 부여 후, 현재 계정의 다른 워크스페이스에 있는 감지 메트릭을 사용하여 모니터를 생성할 수 있습니다. 규칙이 성공적으로 생성되면 워크스페이스 간 알림 구성이 가능합니다. 다른 워크스페이스를 선택하면 감지 메트릭 드롭다운 목록에 현재 워크스페이스에서 권한이 부여된 데이터 유형만 표시된다는 점에 유의하세요. |
| 데이터 소스 유형 | 메트릭, 로그, 인프라스트럭처, 리소스 카탈로그, 이벤트, APM, RUM, 네트워크, Profile 등 |
| 쿼리 방식 | 단순 쿼리, 표현식 쿼리 |
| 탐지 차원 | 데이터의 문자열 유형(keyword) 필드는 탐지 차원으로 선택할 수 있습니다. 현재 탐지 차원은 최대 3개 필드까지 선택 가능합니다. 여러 탐지 차원의 필드 조합을 통해 특정 탐지 대상을 식별할 수 있습니다. 시스템은 해당 탐지 대상의 통계 메트릭이 트리거 조건 임계값을 충족하는지 판단하고, 조건을 충족하면 이벤트를 생성합니다.(예: 탐지 차원으로 host와 host_ip를 선택하면, 탐지 대상은 {host: host1, host_ip: 127.0.0.1}이 될 수 있습니다.) |
| 필터 조건 | 메트릭 태그를 기반으로 감지 메트릭 데이터를 필터링하여 감지 데이터 범위를 제한합니다. 하나 이상의 태그 필터를 추가할 수 있습니다. 퍼지 일치 및 퍼지 불일치 필터 조건을 지원합니다. |
| 집계 알고리즘 | Avg by(평균), Min by(최소값), Max by(최대값), Sum by(합계), Last(마지막 값), First by(첫 번째 값), Count by(데이터 포인트 수), Count_distinct by(고유 데이터 포인트 수), p50(중앙값), p75(75번째 백분위수), p90(90번째 백분위수), p99(99번째 백분위수) 등 |
| 별칭 | 감지 메트릭 이름을 사용자 정의합니다. |
쿼리 방식 상세를 보려면 클릭하세요.
트리거 조건¶
트리거 조건 및 심각도를 구성합니다. 쿼리 결과가 여러 값인 경우, 하나의 값이라도 트리거 조건을 충족하면 이벤트가 생성됩니다.
치명적, 심각, 중요, 경고의 4단계 임계값과 정상 복구 조건을 구성할 수 있습니다.
| 등급 | 구성 | 설명 |
|---|---|---|
| 치명적 | 돌변 방향이 상승 또는 하락/상승/하락인 경우, Result >= [값] % |
돌변 이상 데이터 포인트 비율을 비교하며, 구성 범위를 벗어나면 이벤트가 트리거됩니다. |
| 심각 | 돌변 방향이 상승 또는 하락/상승/하락인 경우, Result >= [값] % |
돌변 이상 데이터 포인트 비율을 비교하며, 구성 범위를 벗어나면 이벤트가 트리거됩니다. |
| 중요 | 돌변 방향이 상승 또는 하락/상승/하락인 경우, Result >= [값] % |
돌변 이상 데이터 포인트 비율을 비교하며, 구성 범위를 벗어나면 이벤트가 트리거됩니다. |
| 경고 | 돌변 방향이 상승 또는 하락/상승/하락인 경우, Result >= [값] % |
돌변 이상 데이터 포인트 비율을 비교하며, 구성 범위를 벗어나면 이벤트가 트리거됩니다. |
| 정상 | [N]회 감지 동안 이벤트 미발생 |
감지 규칙이 적용된 후, 구성된 사용자 정의 감지 횟수 내에 데이터 감지 결과가 이상(치명적, 심각, 중요, 경고)에서 정상으로 복구되면 복구 알림 이벤트가 트리거됩니다. ❗️ 복구 알림 이벤트는 알림 음소거의 제한을 받지 않습니다. 복구 알림 이벤트 감지 횟수를 설정하지 않으면 알림 이벤트가 복구되지 않으며, 이벤트 > 미복구 이벤트 목록에 계속 표시됩니다. |
자세한 내용은 이벤트 등급 설명을 참조하세요.
대량 알림 보호¶
시스템에서 기본적으로 활성화됩니다.
단일 감지에서 생성된 알림 수가 사전 설정된 임계값을 초과하면 시스템이 자동으로 상태별 집계 전략으로 전환합니다. 알림 대상을 개별적으로 처리하지 않고, 이벤트 상태에 따라 소수의 요약 알림을 생성하여 푸시합니다.
이를 통해 알림의 적시성을 보장하고 알림 노이즈를 크게 줄이며, 과도한 알림 처리로 인한 시간 초과 위험을 방지할 수 있습니다.
이 스위치가 켜져 있으면, 이후 모니터가 이상을 감지하여 생성된 이러한 이벤트 상세에 히스토리 레코드 및 관련 이벤트가 표시되지 않습니다.
데이터 누락¶
감지 메트릭의 감지 구간 내 쿼리 결과가 비어 있을 때의 처리 전략:
| 옵션 | 설명 |
|---|---|
| 이벤트 트리거 안 함(기본값) | 감지 구간의 시간 범위와 연동하여, 감지 메트릭의 최근 특정 시간(분) 내 쿼리 결과를 기반으로 이벤트 생성 여부를 판단합니다. 데이터 누락이 허용되는 시나리오에 적합합니다. |
| 쿼리 결과를 0으로 간주 | 감지 구간의 시간 범위와 연동하여, 감지 메트릭의 최근 특정 시간(분) 내 쿼리 결과를 0으로 간주하고, 위의 트리거 조건에 구성된 임계값과 다시 비교하여 이상 이벤트 트리거 여부를 판단합니다. |
| 사용자 정의 값 채우기 및 이벤트 트리거 | 감지 구간 값 사용자 정의 채우기를 지원하며, 다음 이벤트 유형을 각각 트리거합니다: 데이터 누락 이벤트, 긴급 이벤트, 중요 이벤트, 경고 이벤트 및 복구 이벤트. ❗️이 전략을 선택하는 경우, 사용자 정의 데이터 누락 시간을 감지 구간 시간 간격 이상으로 구성하는 것이 좋습니다. 구성 시간이 감지 구간 시간 간격 이하인 경우 데이터 누락과 이상이 동시에 충족되는 상황이 발생할 수 있으며, 이 경우 데이터 누락 처리 결과가 우선 적용됩니다. |
트리거 조건, 데이터 누락, 정보 생성을 동시에 구성하는 경우, 다음 우선순위에 따라 트리거를 판단합니다: 데이터 누락 > 트리거 조건 > 정보 이벤트 생성.
즉, 먼저 데이터 누락 여부를 판단한 후, 임계값 트리거 여부를 판단하고, 마지막으로 정보 이벤트 생성 여부를 판단합니다.
정보 생성¶
이 옵션을 활성화하면 정보 생성 조건을 구성해야 합니다. 감지 결과가 "치명적", "심각", "중요", "경고" 임계값 중 어느 하나도 트리거하지 않고 정보 생성 조건을 충족하는 경우에만 시스템이 "정보" 이벤트를 기록합니다.
정상 상태 변화나 낮은 우선순위 정보를 기록해야 하는 시나리오에 적합합니다.
후속 구성¶
위의 감지 구성을 완료한 후, 다음 구성을 계속 진행하세요.