Стандартизированная серьёзность событий
Стандартизированная серьёзность событий
Ключ-АСТРОМ следует стандарту ITIL для систем управления ИТ при классификации серьёзности событий и оповещений. Серьёзность выражается числовым значением от 1 (самое критичное состояние) до 5 (чисто информационное событие).
Уровни серьёзности
| Числовое значение | Уровень серьёзности | Описание |
|---|---|---|
| 1 | Critical | Полный сбой с прямым влиянием на клиентов. Система не работает. Например: SSO недоступен, пользователи не могут войти, или данные клиентов потеряны или раскрыты. |
| 2 | Major | Серьёзное нарушение работы сервиса со значительным влиянием на клиентов. Сервис работает, но значительно деградировал. Например: большая часть пользователей не может войти. |
| 3 | Minor | Замедление, деградация сервиса, влияющая на пользовательский опыт без полного прерывания. Например: вход выполняется очень медленно, но работает. |
| 4 | Warning | Заметная проблема без значительного влияния на клиентов. |
| 5 | Informational | Событие, созданное только для информационных целей, без влияния на клиентов. |
Хранение серьёзности
Серьёзность хранится как числовое значение. Вы можете запросить серьёзность из отдельных событий ИИ с помощью DQL:
fetch dt.davis.events | fieldsKeep event.name, event.severity
Это возвращает таблицу имён событий вместе с соответствующими значениями серьёзности. Если источник события не устанавливает серьёзность, поле остаётся пустым.
Серьёзность для событий и проблем
Отдельные события
Отдельное событие несёт ровно одно значение серьёзности или ни одного, если источник события его не устанавливает.
Проблемы
Проблема может группировать несколько событий с разными уровнями серьёзности. Ключ-АСТРОМ применяет следующую логику агрегации:
- Проблема наследует наивысшую (самую критичную) серьёзность среди всех сгруппированных событий. Например, если событие Minor (3) и событие Critical (1) сгруппированы в одну проблему, серьёзность проблемы — Critical (1).
- Серьёзность может только повышаться, но никогда не понижаться. Достигнув определённого уровня, проблема навсегда сохраняет его — даже после устранения первоначальных условий. Проблему можно только закрыть. Причина, по которой серьёзность может повышаться, но не понижаться, — сохранение точности исторической отчётности. Если бы решённые проблемы понижались в уровне, ежемесячный отчёт о критических инцидентах показывал бы неверные данные задним числом. Столбец серьёзности показывает только Critical, Major и Minor (уровни 1–3). События Warning и Informational появляются в списке событий и могут быть сгруппированы в проблему посредством корреляции проблем, но сами по себе они проблем не создают.
Настройка серьёзности для детекторов аномалий
Вы можете настроить серьёзность двумя способами:
При создании нового оповещения
- Перейдите в Обнаружение аномалий и выберите Новое оповещение.
- В окне Просмотр оповещения выберите вкладку Дополнительно.
- На шаге 3 Добавить сведения > шаг B Создать шаблон события > раздел Свойства события задайте следующую пару «ключ-значение»:
event.severity— <число от 5 до 1>. - Выберите Сохранить.
При редактировании существующего оповещения
- Перейдите в Настройки > Анализ и оповещение > Оповещения.
- Выберите оповещение, затем Редактировать.
- В разделе Свойства добавьте
event.severity— <число от 5 до 1>.
Серьёзность в рабочих процессах
Когда вы настраиваете рабочий процесс с триггером проблемы, можно фильтровать по уровню серьёзности. Выбор уровня серьёзности запускает рабочий процесс для этого уровня и всех более высоких (более критичных) уровней. Выберите Триггер проблемы, чтобы задать уровень серьёзности для срабатывания триггера:
- SEV-1
- SEV-2 (SEV-2 и выше)
- SEV-3 (SEV-3 и выше)
- SEV-4 (SEV-4 и выше)
- SEV-5 (SEV-5 и выше)
Настройка фильтра на Minor (3) запускает рабочий процесс для проблем Minor (3), Major (2) и Critical (1), но не для событий Warning (4) или Informational (5).
