Отслеживание состояния сервисов

Решение KUMA построено на микросервисной архитектуре. Каждый компонент решения, например коллекторы, корреляторы или хранилища, работает как отдельный сервис. Поэтому общее "здоровье" работы решения складывается из состояния работы всех его сервисов. Ряд средств для отслеживания состояния работы сервисов работает "из коробки" и не требует дополнительной настройки. При этом вы можете настроить некоторые параметры для отслеживания состояния сервисов по своему усмотрению. Это поможет точечно отслеживать проблемы в работе сервисов, характерные для конкретной конфигурации решения или инфраструктуры организации.

Встроенные механизмы диагностики работы сервисов

Одним из способов определить текущее состояние сервиса является статус. Статус сервиса определяется автоматически на основании следующей информации:

• доступность сервиса;
• наличие ошибок в файлах журнала сервиса;
• значения настраиваемых параметров.

Возможные статусы сервисов

При смене статуса сервиса создается событие аудита. К событиям аудита можно создавать поисковые запросы, создавать по таким событиям виджеты или использовать их в правилах корреляции.

Еще одним инструментом для отслеживания работы сервисов являются метрики KUMA, которые представляют собой панели мониторинга с информацией о метриках и визуализацией ключевых параметров работы различных сервисов KUMA. Этот инструмент позволяет отслеживать состояние всех сервисов, кроме холодного хранилища и агента. Например, с помощью метрик можно выявить нехватку выделенных ресурсов.

Для доступа к метрикам KUMA у пользователя должна быть соответствующая роль или права доступа.

Настройка параметров для отслеживания состояния сервисов

Пороговые значения параметров для мониторинга сервисов KUMA могут настраивать только пользователи с ролью Главный администратор.

Чтобы настроить параметры сервисов:

1. В веб-интерфейсе откройте раздел Параметры → Другое → Мониторинг сервисов.
2. Укажите значения параметров мониторинга для сервисов.

   Мониторинг сервисов не распространяется на холодное хранилище.

   Если вы указали значение, которое не подходит по диапазону или формату, значение будет сброшено до установленного ранее.

3. Нажмите Сохранить.

KUMA зарегистрирует событие аудита Пороговые значения для мониторинга сервисов изменены.

KUMA отслеживает состояние сервисов по заданным параметрам. Если заданные пороговые значения будут превышены, произойдут следующие изменения:

• KUMA зарегистрирует событие аудита Зарегистрирован алерт Metrics для сервиса.
• KUMA отправит уведомление Главному администратору по электронной почте.
• Сервисы отобразятся в разделе Активные сервисы в желтом статусе. Если вы наведете курсор на значок статуса, отобразится сообщение об ошибке.

  Чтобы найти сервисы с ошибками, в разделе Активные сервисы вы можете отфильтровать сервисы по статусам или указать в поле поиска слово из текста ошибки, например QPS или buffer, и нажать ENTER. Использовать специальные символы ", }, { невозможно.

Примеры отслеживания состояния сервисов

В следующих примерах показано, каким образом вы можете отслеживать состояние сервисов.

1. Если в разделе Активные сервисы сервис коллектора находится в желтом статусе и вы видите сообщение Enrichment errors increasing, вы можете выполнить следующие действия:
   • Перейти в раздел Метрики → <тип сервиса> → <имя сервиса> → Enrichment → Errors и выяснить, какое именно обогащение работает с ошибками, а также просмотреть график, чтобы уточнить когда именно началась проблема и отследить динамику.
   • Проверить параметры подключения DNS или Kaspersky CyberTrace, поскольку вероятной причиной ошибок обогащения может быть недоступность DNS-сервера или ошибки обогащения Kaspersky CyberTrace.
2. Если в разделе Активные сервисы сервис коллектора находится в желтом статусе и вы видите сообщение Output Event Loss increasing, вы можете выполнить следующие действия:
   • Перейти в раздел Метрики → <тип сервиса> → <имя сервиса> → IO → Output Event Loss и просмотреть график, чтобы уточнить когда именно началась проблема и отследить динамику.
   • Проверить доступность и правильность подключения точки назначения или выяснить, почему превышен размер буфера, поскольку вероятной причиной потери событий может быть недоступность точки назначения или превышение размера буфера.

Использование правил корреляции

Для отслеживания состояния сервисов KUMA вы можете использовать правила корреляции. Для этого вы можете скачать из репозитория пакет правил корреляции [OOTB] KUMA package - RU или [OOTB] KUMA package - ENG, в который также входят правила корреляции для мониторинга работоспособности сервисов KUMA. Например, из этого пакета вы можете использовать правило R503_11_Оповещение о возможной проблеме с производительностью служб KUMA, привязав его к коррелятору. В результате работы этого правила корреляции KUMA будет создавать алерт при создании события аудита Зарегистрирован алерт Metrics для сервиса.

Создание виджетов и отчетов

Для визуализации состояния сервисов KUMA вы можете добавить в панель мониторинга виджеты, настроенные на отображение статистики по событиям аудита Зарегистрирован алерт Metrics для сервиса или Статус сервиса изменен.

Выключение мониторинга сервисов

Чтобы выключить мониторинг сервисов:

1. В веб-консоли KUMA перейдите в раздел Параметры → Другое → Мониторинг сервисов.
2. Если вы хотите выключить мониторинг сервисов только для коллекторов, в блоке параметров Коллекторы установите флажок Отключить ошибки коннекторов.

   Будет отключен только анализ метрики Connector errors для коллекторов.

3. Если вы хотите выключить мониторинг всех сервисов, установите переключатель Состояние в положение выключено.

Мониторинг сервисов KUMA будет выключен, при этом сервисам не будет присваиваться желтый статус.