アラート

Flowmon Monitoring Centerでは、事前定義されたネットワーク異常を自動的に観察し、異常発生時に特定のアクションをトリガーできます。このような観察をアラートといい、選択したプロファイルのフィルタ、実行条件、トリガーのタイプ、実行されるアクションを用いて定義されます。アラートは、5分、1分、30秒のプロファイルに利用できます。1分と30秒のプロファイルのアラートは30秒ごとに評価されます。同様に、5分のプロファイルのアラートは5分ごとに評価されます。

[アラート]ページに、アラートおよびそのステータスの一覧が表示されます。[詳細]をクリックすると、特定のアラートに関する詳細を表示できます。

新しいアラートの作成

新しいアラートを作成するには、[新しいアラート]をクリックし、[新しいアラート]フォームに入力します。

• [プロファイル] - 親プロファイルを選択します。

• [チャネル] - アラートに関連するデータを持つチャネルを選択します。[すべて]オプションとは、今後追加されるチャネルも含むすべてのチャネルを意味しています。

• [フィルタ] - 親プロファイルに関連するアラートのフィルタを入力します。アラートの実行条件は、フィルタによって決まります。

• [実行条件] - フローの一覧(全フローサマリに基づく条件)またはフロー統計(個々のトップワン統計に基づく条件)のいずれかによって、実行条件が定義されます。この条件は、複数連結できます(最大6つの条件)。新しい条件を追加するには、条件パラメータの右側にある+アイコンをクリックします。2つ目および以下のすべての条件の先頭で、条件を以前のものと連結するための連結語(and / orロジックを使用)を選択できます。

  フィルタを通過するフロー/パケット/バイト/NPMメトリックの数などに、実行条件を定義できます。この数は、絶対値、選択した期間の平均値、週間基準のいずれかと比較されます。これにより、ピーク検出を簡単に行うための適応フィルタを定義できます。

  週間基準は、プロファイル履歴が7日以上に及ぶ場合にのみ適用されます。現在の5分間のトラフィック量は、同じ曜日の同じ5分間の平均値と比較されます(例: 月曜日の12:10の値とそれ以前の月曜日の12:10の値が比較されます)。プロファイル履歴が長くなるほど、このメソッドのもたらす結果は良くなります。履歴の最大長は28日(4週)です。

  また、トップワン統計での実行条件を定義することができます。

• [トリガー] - 実行条件を満たすたびに、選択したアクションがトリガーされます。ニーズに応じて、条件を満たすたびに毎回、一回のみ、条件が有効な間に一回のみ、アクションをトリガーするように設定することができます。さらに、アクションをトリガーするために条件を繰り返し満たす必要があるように設定できます。また、アクションがトリガーされると、複数のサイクルの実行を無効化することもできます。トリガーを[一回のみ]に設定すると、各トリガーの後に条件は無効になります。再度アクティブ化するには、アラートリストの[再実装]をクリックします。

• [アクション] - アラートがトリガーされたときに実行するアクションを定義します。一般的なアクションは、電子メールの送信、ユーザ定義のスクリプトの実行(Callプラグイン: runscriptpluginを使用)、CEF形式のsyslogメッセージの送信(Callプラグイン: syslogpluginを使用)、SNMPトラップの送信(Callプラグイン: snmptrappluginを使用)です。複数のアクションの選択が可能です。[何もしない]を選択すると、残りのアクションがオフになり、アラートが非アクティブ化されます。

  • 電子メールアクションを定義する場合、[受信者]フィールドに1つ以上の電子メールアドレスを入力できます。電子メールアドレスは、カンマまたはセミコロンで区切る必要があります。

シャドウプロファイルに基づくアラート

シャドウプロファイルに基づくアラートを作成するときは、いくつか制約があります。制約因子は、シャドウプロファイルの定義に使用される親プロファイルの粒度です。以下の表を参照して、シャドウプロファイルに基づくアラートをいつ作成できるのか確認してください。

シャドウの親プロファイルの粒度

ユーザ定義のスクリプト

アラートへのアクションとして、ユーザ定義のBASHスクリプトを実行できます([スクリプトの実行]ボックスをオンにした場合)。スクリプトをアップロードするには、[ブラウズ]ボタンを押します。スクリプトのパラメータは、[スクリプトのパラメータ]フィールドで指定します。

ユーザスクリプトにアラートデータ(名前、時間、条件、測定値)が必要な場合は、必須のコード(以下のスクリプト例を参照)を含めます。これにより、すべてのアラート変数が設定されます。

以下のユーザスクリプト例では、入力パラメータfで定義したファイルに、アラート名、タイムスロット、バイト/パケット/フローの合計数を保存します。

ユーザ定義スクリプトの例

# start of mandatory part of source code
. /usr/local/bin/fmc_alert_functions
if [ -L $0 ] ; then
DIR=$(dirname $(readlink -f $0)) ;
else
DIR=$(dirname $0) ;
fi
input_json=$(cat "$DIR/pluginscript_input")
parse_alert_data "$input_json"
# end of mandatory part of source code
# Initialize our own variables
parameter_filename=""
# Processs input parameters
while getopts "f:" opt; do
case "$opt" in
h|\?)
echo "invalid␣option␣$opt"
exit 1
;;
f) parameter_filename=$OPTARG
;;
esac
done
shift $((OPTIND-1))
[ "$1" = "--" ] && shift
echo "======ALERT␣INFO======" > $parameter_filename
echo "Alert␣name:␣$ALERT_NAME" >> $parameter_filename
echo "Alert␣timeslot:␣$ALERT_TIMESLOT" >> $parameter_filename
echo "======ALERT␣DATA======" >> $parameter_filename
echo "Summary␣bytes:␣$SUMMARY_BYTES" >> $parameter_filename
echo "Summary␣packets:␣$SUMMARY_PACKETS" >> $parameter_filename
echo "Summary␣flows:␣$SUMMARY_FLOWS" >> $parameter_filename

変数のリスト

ALERT_BASED_ON=Alert based on "summary" or "TOP1" statistic
ALERT_NAME=Alert's displayed name
ALERT_TIMESLOT=Timeslot
INTERNAL_NAME=Alert's identifier (UUID)
#Summary data
SUMMARY_BYTES=Number of bytes
SUMMARY_PACKETS=Number of packets
SUMMARY_FLOWS=Number of flows
SUMMARY_BPS=Bits per second
SUMMARY_PPS=Packet per second
SUMMARY_BPP=Bits per packet
#Top1 data
TOP1_DATA=Top1 data
#Conditions and its values
CONDITION_COUNTER=Number of conditions
CONDITION1_WHAT=Condition by flows/packets/bytes/flows_per_second/packets_per_second/bits_per_second
CONDITION2_WHAT
CONDITION3_WHAT
CONDITION4_WHAT
CONDITION5_WHAT
CONDITION6_WHAT
CONDITION1_COMPARE_BY=Comparision operator and value to compare
CONDITION2_COMPARE_BY
CONDITION3_COMPARE_BY
CONDITION4_COMPARE_BY
CONDITION5_COMPARE_BY
CONDITION6_COMPARE_BY
CONDITION1_ACTUAL_VALUE=Current measured value
CONDITION2_ACTUAL_VALUE
CONDITION3_ACTUAL_VALUE
CONDITION4_ACTUAL_VALUE
CONDITION5_ACTUAL_VALUE
CONDITION6_ACTUAL_VALUE
CONDITION1_AVERAGE_VALUE=Average value for X minutes/hours/days (only for average values)
CONDITION2_AVERAGE_VALUE
CONDITION3_AVERAGE_VALUE
CONDITION4_AVERAGE_VALUE
CONDITION5_AVERAGE_VALUE
CONDITION6_AVERAGE_VALUE
CONDITION1_RESULT=How the condition was evaluated "True" or "False"
CONDITION2_RESULT
CONDITION3_RESULT
CONDITION4_RESULT
CONDITION5_RESULT
CONDITION6_RESULT
CONDITION1_BINARY_OPERATION=Binary operation of condition "OR" or "AND"
CONDITION2_BINARY_OPERATION
CONDITION3_BINARY_OPERATION
CONDITION4_BINARY_OPERATION
CONDITION5_BINARY_OPERATION
CONDITION6_BINARY_OPERATION

スクリプトの正常な動作をテストするには、[スクリプトの保存とテスト]をクリックします。実行済みの各スクリプトアクションに関する情報が、ポップアップウィンドウに表示されます。

アラートステータス

アラートステータスは、アラートテーブルの[ステータス]列に表示されます。また、アラート詳細ダイアログの左上隅にも表示されます。ステータスは、以下のいずれかになります。

アラートの詳細

アラートリストで[詳細]をクリックすると、以下のフォームが表示されます。選択したアラートの詳細が表示されます。

このフォームの上部には、アラートの現在のステータス、最後のトリガーの日時、条件評価の状態、実行されるアクションが表示されます。下部には、ネットワークトラフィックの平均値のフローを示すグラフが表示されます。グラフ内の値を使用して、実行条件をさらに正確に指定できます。グラフ内の縦カーソル(縦線)は、トリガーが最後に発生したのがいつなのかを示します。30秒のアラートグラフは30秒の粒度で、5分のアラートグラフは5分の粒度です。

グラフの下にあるテーブルには、フロー、パケットおよびバイトの最後の割り当て時間に測定された、ネットワークトラフィックの平均値が表示されます。各テーブルの上にあるラジオボタンを使用して、グラフの単位を切り替えることができます。

たとえば、最後の6つの割り当て時間から30分の平均値が計算されます。各割り当て時間で5分を対象とするため、6 * 5分 = 30分となります。これらの割り当て時間の範囲でのフローの合計を6で割り、その結果が30分の平均として表示されます。この値は、アラートルールに従い、現在の5分の割り当て時間と比較されます。