ATPの高度な機能とインテリジェンスレイヤー

動的閾値

この機能は、システムの過去の動作に基づいて閾値を自動的に調整し、誤検知を減らしながら異常を発見するのに役立ちます。

processors:
  adaptivetelemetry:
    # ... existing config ...
    # Dynamic threshold configuration
    enable_dynamic_thresholds: true
    dynamic_smoothing_factor: 0.2
    min_thresholds:
      process.cpu.utilization: 0.04  # Can't go below 4%
      process.memory.utilization: 0.04  # Can't go below 4%
    max_thresholds:
      process.cpu.utilization: 0.30  # Can't exceed 30%
      process.memory.utilization: 0.30  # Can't exceed 30%

マルチメトリクス複合スコアリング

これにより、複数のメトリックをまとめて評価し、プロセスの健全性の全体的なビューを提供し、複数の次元にわたって問題のあるプロセスを検出します。

processors:
  adaptivetelemetry:
    # ... existing config ...
    # Multi-metric configuration
    enable_multi_metric: true
    composite_threshold: 1.2
    weights:
      process.cpu.utilization: 0.5
      process.memory.utilization: 0.5

異常検知

これにより、過去の平均値を上回る突然のメトリックの急上昇が検出され、異常が発生したプロセスや予期しない動作の変化が発生したプロセスを把握できるようになります。

processors:
  adaptivetelemetry:
    # ... existing config ...
    # Anomaly detection configuration
    enable_anomaly_detection: true
    anomaly_history_size: 15
    anomaly_change_threshold: 50.0  # 50% spike triggers anomaly
    anomaly_min_data_points: 3

基本設定

• enable_storage: メトリクス履歴データの永続ストレージを有効にします。 これは、再起動後も持続するために必要です。

  • デフォルト： true

  • ストレージ パスはプラットフォームによって自動的に決定されます。

    • Linux: /var/lib/nrdot-collector/adaptiveprocess.db
    • Windows : %LOCALAPPDATA%\nrdot-collector\adaptiveprocess.db

• retention_minutes: プロセスが最後に閾値を超えてから、そのプロセスを追跡し続ける時間 (分単位)。

  • デフォルト: 30 (最大: 30)
  • チューニング: 短命なプロセスには低い値（5～10）を使用し、安定したワークロードの場合は30に維持します。

プロセスリストを含める

include_process_listは、常にすべてのフィルターをバイパスし、閾値に関係なく報告されるプロセスのリストです。

• ユースケース: 常に監視したい重要なプロセス (データベース、Web サーバーなど)

• セキュリティ: /usr/bin/postgresなどの区切り文字を含む完全なパス (/usr/bin/postgres) を使用します。"postgres"などのパス区切り文字のないエントリはどのプロセスにも一致しません。

  例：

  include_process_list:
    - "/usr/bin/postgres"  # Always include PostgreSQL
    - "/usr/sbin/nginx"    # Always include Nginx

  コピー

メトリクスの閾値

metric_thresholdsは、各メトリクスの静的な閾値です。 プロセスはこの値を超えるとフラグが付けられます。

最適化する方法:

• 平均ワークロードのベースライン値から始めます

• 閾値を上げてノイズを減らし、アラートを減らします

• より小さな異常を捕捉するには、閾値を下げる

• 使用率メトリクス (CPU/メモリ): パーセンテージを使用します (0.0 ～ 1.0 = 0% ～ 100%)。

• メトリクス数 (スレッド、ファイル記述子) の場合: 絶対数を使用します。

  例の値の説明:

  metric_thresholds:
    process.cpu.utilization: 0.0005      # 0.05% CPU - very sensitive
    process.memory.utilization: 0.0005   # 0.05% memory - very sensitive
    process.memory.virtual: 20971520     # 20 MB virtual memory
    process.threads: 16                  # 16 threads
    process.open_file_descriptors: 30    # 30 open files
    process.disk.io: 204800              # 200 KB disk I/O
    process.cpu.time: 0.01               # 0.01 seconds CPU time

  コピー

動的閾値

過去の動作に基づいて閾値を自動的に調整します。 さまざまなワークロード パターンを持つプロセスに役立ちます。

• enable_dynamic_thresholds：適応閾値調整をオンにします。

  • 有効にする場合: バッチジョブ、API サーバーなど、変動する動作を伴うプロセス
  • 無効にする場合: 安定した予測可能な動作をするプロセス

• dynamic_smoothing_factor: 閾値がどれだけ早く適応するか (0.0-1.0)。

  • 低い（0.1）：適応が遅く、より安定している（段階的な変化に適している）
  • 高い（0.5）：適応が速く、応答性が高い（不安定なワークロードに適している）
  • デフォルト: 0.2 (バランス)

• min_thresholds: 下限値 - 閾値はこれらを下回ることはありません。 これは閾値が敏感になりすぎないようにするために使用されます。

• max_thresholds: 上限値 - 閾値はこれらを超えることはありません。 これは閾値が緩くなりすぎないようにするために使用されます。

マルチメトリクススコアリング (複合スコアリング)

複数のメトリクスを個別に評価するのではなく、まとめて評価します。 複数の次元にわたって「悪質な」プロセスをキャッチするのに役立ちます。

• enable_multi_metric: 複合スコアリングを有効にします。

  • 有効にする場合: 複数の方法で問題のあるプロセスをキャッチしたい場合 (CPU 負荷 + メモリ負荷)
  • 無効にする場合: 個別のメトリクスを集計したい

• composite_threshold: 総合スコア値。 (メトリクスの加重合計) > composite_threshold の場合、プロセスにフラグが立てられます。

  • 下限（0.5）：より敏感に、限界ケースを捕捉
  • 高い（2.0）：感度が低く、重大な問題のみを検出します
  • デフォルト: 1.5

• weights: 複合スコアにおける各メトリクスの重要性。 重みが大きいほど、メトリクスの影響力が大きくなります。

異常検知

これは、現在の値を履歴パターンと比較することで、突然の急増や異常な動作を検出します。

• enable_anomaly_detection: スパイク検出をオンにします。

  • 有効にする場合: 突然の変更 (プロセスの異常) をキャッチするため
  • 無効にする場合: 絶対値の場合

• anomaly_history_size: ベースライン平均を計算するために保持する最近のデータ ポイントの数。

  • 大きい（50～100）：ベースラインが滑らかになり、より大きな異常を検出します
  • 小さめ（5～15）：より反応が良く、小さなスパイクをキャッチします
  • デフォルト: 10 (最大: 100)

• anomaly_change_threshold: 集計をトリガーする過去の平均を上回るパーセンテージのスパイク。

  • 例: 50.0 = 現在の値が平均より 50% 高い場合にフラグを立てます
  • 低い（20～50）：変化に敏感
  • 高い（100～200）: 劇的なスパイクのみをキャッチ
  • デフォルト: 200.0

• anomaly_min_data_points: 異常検出がアクティブになる前の最小履歴データ ポイント。

  • これにより、起動時の誤検知を防ぐことができます。
  • 推奨: 3 (デフォルト) のままにする
  • ≤ である必要があります anomaly_history_size