Alerts

Alerts und Incidents im VergleichLink zur Überschrift kopieren

Wenn du den Unterschied zwischen Alerts und Incidents kennst, kannst du kritische oder potenziell gefährliche Ereignisse effektiv verwalten und darauf reagieren.

AlertsLink zur Überschrift kopieren

Ein Alert wird ausgelöst, wenn ein Monitor fehlschlägt oder eine vordefinierte Bedingung bzw. ein Schwellenwert erreicht wird. Alerts sollen auf mögliche Probleme oder ungewöhnliche Muster aufmerksam machen, die genauer betrachtet werden sollten. Sie bedeuten aber nicht zwingend, dass ein kritisches Problem die Leistung deines Systems beeinträchtigt.

• Zweck: Nutzer über Zustände informieren, die beobachtet werden sollten oder schnelle vorbeugende Maßnahmen erfordern.
• Beispiele:
  • Die CPU-Auslastung liegt über einen bestimmten Zeitraum über 80 %.
  • Ein einzelner fehlgeschlagener Anmeldeversuch.
  • Ein kurzer, geringer Anstieg der Netzwerklatenz.
• Reaktion: Alerts können so konfiguriert werden, dass sie automatisch ausgelöst werden. Sie müssen zwar unter Umständen untersucht werden, erfordern aber nicht immer sofortiges Handeln – es sei denn, sie eskalieren oder treten häufig auf.

IncidentsLink zur Überschrift kopieren

Ein Incident ist ein schwerwiegenderes Ereignis, das ein tatsächliches Problem darstellt und die Funktionalität, Leistung oder Sicherheit deines Systems beeinträchtigt. Incidents entstehen in der Regel aus einem kritischen Alert, der als echtes Problem bestätigt wurde und behoben werden muss.

• Zweck: Auf ein Problem hinweisen, das sofort untersucht, diagnostiziert und behoben werden muss.
• Beispiele:
  • Systemausfall oder Ausfall eines Dienstes.
  • Unbefugter Zugriff auf sensible Daten.
  • Ein vollständiger Ausfall einer kritischen Anwendungskomponente.
• Reaktion: Incidents erfordern einen Eskalationsprozess und oft eine koordinierte Reaktion eines Response-Teams. Sie können außerdem Incident-Berichte, Ursachenanalysen und vorbeugende Maßnahmen (Troubleshooting) nach sich ziehen.

Alert vs. IncidentLink zur Überschrift kopieren

Alert-QuellenLink zur Überschrift kopieren

Unsere integrierten HTTP- und ICMP-Monitore sind eine mögliche Alert-Quelle. So verbindest du deine eigene Alertmanager-Instanz mit Incidite, um Incidents automatisch zu erstellen und Dienste zu aktualisieren:

1. Öffne die Einstellungen.
2. Klicke in der Seitenleiste auf Alerts (unter Response).
3. Klicke auf Quelle erstellen.

Einstellungen der Alert-QuelleLink zur Überschrift kopieren

• Name: Gib deiner Alert-Quelle einen Alias, damit du sie leicht wiedererkennst.
• Typ: Gib den Typ der Alert-Quelle an, die du einbinden möchtest (derzeit wird nur Alertmanager unterstützt).
• Alert-Prozessor: Wähle aus, welcher Alert-Prozessor die Korrelation eingehender Alerts übernehmen soll.

Nachdem du die Alert-Quelle erstellt hast, erhältst du einen Webhook-Endpunkt und ein Webhook-Secret. Füge beides in deiner Alertmanager-Instanz hinzu, um Alerts an Incidite weiterzuleiten:

Alert-ProzessorenLink zur Überschrift kopieren

Alert-Prozessoren korrelieren eingehende Alerts anhand ihrer Attribute, verknüpfen betroffene Dienste über ihre Korrelationsgruppe und ordnen sie laufenden Incidents zu.

Derzeit bieten wir zwei Arten von Prozessoren an:

• Statistisch: Korreliert Alerts mit statistischen Methoden anhand übereinstimmender Key-Value-Paare und vordefinierter Gewichtungen. Du kannst auch Gewichtungen für bestimmte Attribute festlegen.
• Maschinelles Lernen: Ermittelt mithilfe von Machine Learning, ob Alerts miteinander zusammenhängen.
• Fusion: In Arbeit

Incidents können automatisch aus Alerts erstellt werden. Stell einfach sicher, dass die automatisierte Incident-Erstellung für deinen Alert-Prozessor in der Konfiguration aktiviert ist.

Statistische Alert-VerarbeitungLink zur Überschrift kopieren

Der statistische Alert-Prozessor vergleicht zwei oder mehr Alerts und berechnet, wie ähnlich sie sich sind. Der Grad der Ähnlichkeit wird als Wert zwischen 0 und 1 angegeben, wobei 1 identisch bedeutet und 0 keinerlei Ähnlichkeit.

Alerts werden korreliert, wenn ein festgelegter Grenzwert bei Ähnlichkeit erreicht wird. Der Standardwert liegt bei 0,7, du kannst ihn aber anpassen, je nachdem, wie genau die Korrelation sein soll. Wenn du nicht sicher bist, welcher Grenzwert am besten passt, kannst du simulieren, wie viele Incidents mit deinem aktuellen Grenzwert aus deinen bisherigen Alerts entstanden wären. Konfiguriere dazu Grenzwert, Keys und Gewichtungen und klicke dann auf Simuliere Alert-Prozessor.

Alert-Verarbeitung mit Machine LearningLink zur Überschrift kopieren

Der Machine-Learning-Alert-Prozessor nutzt fortschrittliche Algorithmen, um Muster und Zusammenhänge in Alerts anhand von historischen Daten und erlerntem Verhalten zu erkennen. Anders als der statistische Prozessor, der einen festen Grenzwert bei Ähnlichkeit verwendet, passt sich der Machine-Learning-Prozessor dynamisch an, während er neue Daten verarbeitet. So entwickelt er sich mit der Zeit weiter und erkennt zusammenhängende Alerts immer genauer – auch anhand komplexer Muster, die über einfache Ähnlichkeitswerte hinausgehen.

Statistisch vs. MLLink zur Überschrift kopieren