개요

이상 탐지는 로그를 분석하여 로그 볼륨의 비정상적인 급증을 식별합니다. 볼륨이 비정상적으로 급증했다면 공격, 구성 오류 또는 폭주 프로세스와 같은 문제가 있다는 의미일 수 있습니다.

이상 탐지 규칙을 구성하는 방법은 규칙 생성을 참조하세요.

이상 탐지의 작동 방식

이상 탐지 규칙은 다음과 같이 작동합니다.

• 수신 로그를 시간 버킷으로 집계하고 기준선을 계산합니다.
  • 상한값에는 최근 기록의 99.5번째 백분위수가 반영되며, 최대 2주분의 과거 로그를 사용합니다.
• 각 평가 시 가장 최근의 평가 기간을 확인하고 시계열이 해당 상한값을 얼마나 초과하는지 측정합니다.
  • 전체 평가 기간 동안 초과 수준이 충분히 큰 경우 신호가 트리거됩니다.

이상 탐지 방법은 정상적인 패턴에 맞게 조정되므로 일상적인 변동으로 인한 노이즈를 줄입니다.

참고: 이상 탐지 방법은 급증만 탐지합니다. 로그 볼륨 급감에 대한 경보는 표시되지 않습니다.

계절성 및 학습 기간

알고리즘은 일간 및 주간 계절성을 자동으로 고려하므로 주말 급증과 같은 정기적인 피크에는 경보가 표시되지 않습니다.

group by에 대한 새 규칙 또는 새로 관찰된 값에는 짧은 학습 기간이 적용됩니다. 학습 기간 동안 데이터를 수집하여 기준선을 구축합니다.

모범 사례

• 쿼리 범위를 좁게 설정합니다. 서비스, 환경, 팀 또는 엔드포인트별로 필터링하여 노이즈를 줄입니다.
• 넓은 적용 범위를 포괄하려면 먼저 관리형 기본 규칙을 사용한 다음, 로그가 많이 발생하는 소스에 사용자 지정 이상 탐지 규칙을 추가합니다.