Fonctionnalités avancées et couches d'intelligence ATP

Seuils dynamiques

Cette fonctionnalité ajuste automatiquement les seuils en fonction du comportement historique de votre système, ce qui vous aide à détecter les anomalies tout en réduisant les faux positifs.

processors:
  adaptivetelemetry:
    # ... existing config ...
    # Dynamic threshold configuration
    enable_dynamic_thresholds: true
    dynamic_smoothing_factor: 0.2
    min_thresholds:
      process.cpu.utilization: 0.04  # Can't go below 4%
      process.memory.utilization: 0.04  # Can't go below 4%
    max_thresholds:
      process.cpu.utilization: 0.30  # Can't exceed 30%
      process.memory.utilization: 0.30  # Can't exceed 30%

Notation composite multi-métrique

Cela évalue plusieurs métriques ensemble pour vous donner une vue d'ensemble de la santé des processus, en détectant les processus problématiques sur plusieurs dimensions.

processors:
  adaptivetelemetry:
    # ... existing config ...
    # Multi-metric configuration
    enable_multi_metric: true
    composite_threshold: 1.2
    weights:
      process.cpu.utilization: 0.5
      process.memory.utilization: 0.5

Détection des anomalies

Cela détecte les pics soudains de métriques au-dessus des moyennes historiques, vous aidant à repérer les processus devenus incontrôlables ou ayant subi des changements de comportement inattendus.

processors:
  adaptivetelemetry:
    # ... existing config ...
    # Anomaly detection configuration
    enable_anomaly_detection: true
    anomaly_history_size: 15
    anomaly_change_threshold: 50.0  # 50% spike triggers anomaly
    anomaly_min_data_points: 3

Paramètres de base

• enable_storage: Activer le stockage persistant pour les données de métriques historiques. Ceci est nécessaire pour la persistance entre les redémarrages.

  • Défaut: true

  • Les chemins de stockage sont déterminés automatiquement par la plateforme :

    • Linux: /var/lib/nrdot-collector/adaptiveprocess.db
    • Windows: %LOCALAPPDATA%\nrdot-collector\adaptiveprocess.db

• retention_minutes: Durée (en minutes) pendant laquelle continuer à suivre un processus après le dernier dépassement d'un seuil.

  • Défaut : 30 (max : 30)
  • Réglage : Utilisez des valeurs plus faibles (5-10) pour les processus à courte durée de vie ; maintenez à 30 pour les charges de travail stables

Inclure la liste des processus

Le include_process_list est une liste de processus qui contournent toujours tous les filtres et sont signalés indépendamment des seuils.

• Cas d'usage : Processus critiques que vous souhaitez toujours monitorer (par exemple, base de données, serveur web)

• Sécurité : Utilisez des chemins complets (/usr/bin/postgres) avec des séparateurs tels que /usr/bin/postgres. Les entrées sans séparateur de chemin telles que "postgres" ne correspondront à aucun processus.

  Exemple:

  include_process_list:
    - "/usr/bin/postgres"  # Always include PostgreSQL
    - "/usr/sbin/nginx"    # Always include Nginx

  Copier

Seuils de métrique

Les metric_thresholds sont des valeurs de seuil statiques pour chaque métrique. Un processus est signalé lorsqu'il dépasse cette valeur.

Comment optimiser :

• Commencez par des valeurs de référence issues de votre charge de travail moyenne

• Augmentez les seuils pour réduire le bruit et générer moins d'alertes

• Réduisez les seuils pour détecter les anomalies plus petites

• Pour les métriques d'utilisation (CPU/mémoire) : utilisez des pourcentages (0,0-1,0 = 0 %-100 %)

• Pour les métriques de comptage (threads, descripteurs de fichiers) : utilisez des nombres absolus

  Explication des valeurs d'exemple :

  metric_thresholds:
    process.cpu.utilization: 0.0005      # 0.05% CPU - very sensitive
    process.memory.utilization: 0.0005   # 0.05% memory - very sensitive
    process.memory.virtual: 20971520     # 20 MB virtual memory
    process.threads: 16                  # 16 threads
    process.open_file_descriptors: 30    # 30 open files
    process.disk.io: 204800              # 200 KB disk I/O
    process.cpu.time: 0.01               # 0.01 seconds CPU time

  Copier

Seuils dynamiques

Ajuste automatiquement les seuils en fonction du comportement historique. Utile pour les processus avec des modèles de charge de travail variables.

• enable_dynamic_thresholds: Active l'ajustement adaptatif du seuil.

  • Quand l'activer : Processus au comportement fluctuant, tels que les traitements par lots, les serveurs d'API
  • Quand désactiver : Processus au comportement stable et prévisible

• dynamic_smoothing_factor: Vitesse d'adaptation des seuils (0,0-1,0).

  • Plus faible (0,1) : Adaptation lente, plus stable (adapté aux changements progressifs)
  • Plus élevé (0,5) : Adaptation rapide, plus réactif (adapté aux charges de travail volatiles)
  • Par défaut : 0,2 (équilibré)

• min_thresholds: Valeurs plancher - les seuils ne descendront pas en dessous de ces valeurs. Ceci est utilisé pour éviter que les seuils ne deviennent trop sensibles.

• max_thresholds: Valeurs plafonds - les seuils ne dépasseront pas ces valeurs. Ceci est utilisé pour empêcher les seuils de devenir trop indulgents.

Scoring multi-métrique (scoring composite)

Évalue plusieurs métriques ensemble plutôt qu'individuellement. Utile pour détecter les processus qui sont des "acteurs malveillants" sur plusieurs dimensions.

• enable_multi_metric: Active la notation composite.

  • Quand l'activer : vous souhaitez détecter les processus problématiques de plusieurs manières (CPU élevé + mémoire élevée)
  • Quand désactiver : vous souhaitez alerter sur des violations de métriques individuelles

• composite_threshold: Le seuil de score combiné. Un processus est signalé lorsque : (somme pondérée des métriques) > composite_threshold.

  • Inférieur (0,5) : Plus sensible, détecte les cas marginaux
  • Plus élevé (2.0) : Moins sensible, ne détecte que les problèmes importants
  • Par défaut : 1,5

• weights: Importance de chaque métrique dans le score composite. Plus le poids est élevé, plus la métrique a d'influence.

Détection des anomalies

Cela détecte les pics soudains ou les comportements inhabituels en comparant les valeurs actuelles aux modèles historiques.

• enable_anomaly_detection: Active la détection de pics.

  • Quand l'activer : Pour détecter les changements soudains (processus devenu incontrôlable)
  • Quand désactiver : Pour les seuils absolus

• anomaly_history_size: Nombre de points de données récents à conserver pour calculer la moyenne de référence.

  • Plus grand (50-100) : Ligne de base plus lisse, détecte les anomalies plus importantes
  • Plus petit (5-15) : Plus réactif, détecte les pics plus petits
  • Défaut : 10 (max : 100)

• anomaly_change_threshold: Pic en pourcentage au-dessus de la moyenne historique pour déclencher une alerte.

  • Exemple : 50.0 = signaler si la valeur actuelle est supérieure de 50 % à la moyenne
  • Plus bas (20-50) : Plus sensible aux changements
  • Plus élevé (100-200) : Capturer uniquement les pics importants
  • Par défaut : 200.0

• anomaly_min_data_points: Nombre minimum de points de données historiques avant l'activation de la détection d'anomalies.

  • Cela évite les faux positifs au démarrage
  • Recommandé : maintenir à 3 (par défaut)
  • Doit être ≤ anomaly_history_size