Informazioni sugli avvisi in Log AnalyticsUnderstanding alerts in Log Analytics

Gli avvisi in Log Analytics identificano informazioni importanti nel repository di Log Analytics.Alerts in Log Analytics identify important information in your Log Analytics repository. Questo articolo contiene informazioni dettagliate sul funzionamento delle regole di avviso in Log Analytics e la descrizione delle differenze tra diversi tipi di regole di avviso.This article provides details of how alert rules in Log Analytics work and describes the differences between different types of alert rules.

Per il processo di creazione delle regole di avviso, vedere gli articoli seguenti:For the process of creating alert rules, see the following articles:

Regole di avvisoAlert rules

Gli avvisi vengono creati da regole di avviso che eseguono automaticamente ricerche log a intervalli regolari.Alerts are created by alert rules that automatically run log searches at regular intervals. Se i risultati della ricerca log corrispondono a criteri specifici viene creato un record di avviso.If the results of the log search match particular criteria then an alert record is created. La regola può quindi eseguire automaticamente una o più azioni per notificare l'avviso all'utente in modo proattivo o richiamare un altro processo.The rule can then automatically run one or more actions to proactively notify you of the alert or invoke another process. I diversi tipi di regole di avviso usano una logica diversa per eseguire l'analisi.Different types of alert rules use different logic to perform this analysis.

Avvisi Log Analytics

Le regole di avviso vengono definite dai dettagli seguenti:Alert Rules are defined by the following details:

  • Ricerca log.Log search. La query eseguita ogni volta che viene attivata la regola di avviso.The query that runs every time the alert rule fires. I record restituiti da questa query vengono usati per determinare se viene creato un avviso.The records returned by this query is used to determine whether an alert is created.
  • Intervallo di tempo.Time window. Specifica l'intervallo di tempo per la query.Specifies the time range for the query. La query restituisce solo i record creati in questo intervallo dell'ora corrente.The query returns only records that were created within this range of the current time. Può essere un valore qualsiasi compreso tra 5 minuti e 24 ore.This can be any value between 5 minutes and 24 hours. Ad esempio, se l'intervallo di tempo è impostato su 60 minuti e la query viene eseguita alle 13.15 , vengono restituiti solo i record creati tra le 12.15 e le 13.15.For example, If the time window is set to 60 minutes, and the query is run at 1:15 PM, only records created between 12:15 PM and 1:15 PM is returned.
  • Frequenza.Frequency. Specifica la frequenza con cui deve essere eseguita la query.Specifies how often the query should be run. Può essere un valore qualsiasi compreso tra 5 minuti e 24 ore.Can be any value between 5 minutes and 24 hours. Deve essere uguale o minore dell'intervallo di tempo.Should be equal to or less than the time window. Se il valore è maggiore dell'intervallo di tempo, si rischia di omettere il record.If the value is greater than the time window, then you risk records being missed.
    Si considerino ad esempio un intervallo di tempo di 30 minuti e una frequenza pari a 60 minuti.For example, consider a time window of 30 minutes and a frequency of 60 minutes. Una query eseguita alle 13:00 restituirà i record compresi tra le 12:30 e le 13:00.If the query is run at 1:00, it returns records between 12:30 and 1:00 PM. La volta successiva, la query verrà eseguita alle 14:00 e restituirà i record compresi tra le 13:30 e le 14:00.The next time the query would run is 2:00 when it would return records between 1:30 and 2:00. Qualsiasi record creato tra le 13:00 e 13:30 non verrà mai valutato.Any records created between 1:00 and 1:30 would never be evaluated.
  • Soglia.Threshold. Per determinare se è necessario creare un avviso, vengono valutati i risultati della ricerca log.The results of the log search are evaluated to determine whether an alert should be created. La soglia è diversa per i diversi tipi di regole di avviso.The threshold is different for the different types of alert rules.

Ogni regola di avviso di Log Analytics è di uno fra due tipi.Each alert rule in Log Analytics is one of two types. Ognuno di questi tipi viene descritto in dettaglio nelle sezioni seguenti.Each of these types is described in detail in the sections that follow.

  • Numero di risultati.Number of results. Singolo avviso creato quando i record di numeri restituiti dalla ricerca log superano un numero specificato.Single alert created when the number records returned by the log search exceed a specified number.
  • Unità di misura della metrica.Metric measurement. Avviso creato per ogni oggetto nei risultati della ricerca log quando i valori superano la soglia specificata.Alert created for each object in the results of the log search with values that exceed specified threshold.

Di seguito sono riportate le differenze tra i tipi di regola di avviso.The differences between alert rule types are as follows.

  • La regola di avvivo Numero di risultati crea sempre un avviso singolo, mentre le regola di avviso Unità di misura della metrica crea un avviso per ogni oggetto che supera la soglia.Number of results alert rule will always create a single alert while Metric measurement alert rule creates an alert for each object that exceeds the threshold.
  • Le regole di avviso Numero di risultati creano un avviso quando la soglia viene superata una sola volta.Number of results alert rules create an alert when the threshold is exceeded a single time. Le regole di avviso Unità di misura della metrica possono creare un avviso quando viene superata la soglia più di una volta in un intervallo di tempo specifico.Metric measurement alert rules can create an alert when the threshold is exceeded a certain number of times over a particular time interval.

Regole di avviso Numero di risultatiNumber of results alert rules

Le regole di avviso Numero di risultati creano un singolo avviso quando il numero di record restituiti dalla query di ricerca supera la soglia specificata.Number of results alert rules create a single alert when the number of records returned by the search query exceed the specified threshold.

SogliaThreshold

La soglia per una regola di avviso Numero di risultati è semplicemente maggiore o minore di un particolare valore.The threshold for a Number of results alert rule is simply greater than or less than a particular value. Se il numero di record restituiti dalla ricerca log corrisponde a questi criteri, viene creato un avviso.If the number of records returned by the log search match this criteria, then an alert is created.

ScenariScenarios

EventiEvents

Questo tipo di regola di avviso è adatto per l'uso con eventi come quelli dei log eventi di Windows, Syslog e log personalizzati.This type of alert rule is ideal for working with events such as Windows event logs, Syslog, and Custom logs. È consigliabile creare un avviso quando viene creato un evento di errore specifico o vengono creati più eventi di errore entro un intervallo di tempo specifico.You may want to create an alert when a particular error event gets created, or when multiple error events are created within a particular time window.

Per generare un avviso su un singolo evento, impostare un numero di risultati maggiore di 0 e la frequenza e l'intervallo di tempo su 5 minuti.To alert on a single event, set the number of results to greater than 0 and both the frequency and time window to 5 minutes. Queste impostazioni attivano l'esecuzione della query ogni 5 minuti e controllano l'occorrenza di un singolo evento che è stato creato dopo l'ultima esecuzione della query.That runs the query every 5 minutes and check for the occurrence of a single event that was created since the last time the query was run. Una frequenza maggiore può ritardare il tempo tra l'evento raccolto e la creazione dell'avviso.A longer frequency may delay the time between the event being collected and the alert being created.

Alcune applicazioni possono registrare un errore occasionale che non deve necessariamente generare un avviso.Some applications may log an occasional error that shouldn't necessarily raise an alert. Ad esempio, l'applicazione può ripetere il processo che ha creato l'evento di errore e riuscire quindi al tentativo al successivo.For example, the application may retry the process that created the error event and then succeed the next time. In questo caso, non è consigliabile creare l'avviso, a meno che in un intervallo di tempo specifico non vengano creati più eventi.In this case, you may not want to create the alert unless multiple events are created within a particular time window.

In alcuni casi, è possibile creare un avviso in assenza di un evento.In some cases, you may want to create an alert in the absence of an event. Ad esempio, un processo può registrare eventi regolari per indicare che funziona correttamente.For example, a process may log regular events to indicate that it's working properly. Se non viene registrato uno di questi eventi in un intervallo di tempo specifico, dovrà essere creato un avviso.If it doesn't log one of these events within a particular time window, then an alert should be created. In questo caso è necessario impostare la soglia su minore di 1.In this case you would set the threshold to less than 1.

Avvisi di prestazioniPerformance alerts

I dati sulle prestazioni vengono archiviato come record nel repository OMS in modo analogo agli eventi.Performance data is stored as records in the OMS repository similar to events. Se si vuole generare un avviso quando un contatore delle prestazioni supera una determinata soglia, tale soglia deve essere inclusa nella query.If you want to alert when a performance counter exceeds a particular threshold, then that threshold should be included in the query.

Ad esempio, se si vuole generare un avviso quando il processore è in esecuzione oltre il 90%, usare una query come la seguente con la soglia per la regola di avviso maggiore di 0.For example, if you wanted to alert when the processor runs over 90%, you would use a query like the following with the threshold for the alert rule greater than 0.

Perf | where ObjectName=="Processor" and CounterName=="% Processor Time" and CounterValue>90

Se si vuole generare un avviso quando la media del processore è oltre il 90% per un determinato intervallo di tempo, usare una query con il comando measure come la seguente con la soglia per la regola di avviso maggiore di 0.If you wanted to alert when the processor averaged over 90% for a particular time window, you would use a query using the measure command like the following with the threshold for the alert rule greater than 0.

Perf | where ObjectName=="Processor" and CounterName=="% Processor Time" | summarize avg(CounterValue) by Computer | where CounterValue>90

Nota

Se l'area di lavoro non è stata aggiornata al nuovo linguaggio di query di Log Analytics, le query precedenti cambiano come segue: Type=Perf ObjectName=Processor CounterName="% Processor Time" CounterValue>90 Type=Perf ObjectName=Processor CounterName="% Processor Time" | measure avg(CounterValue) by Computer | where AggregatedValue>90If your workspace has not yet been upgraded to the new Log Analytics query language, then the above queries would change to the following: Type=Perf ObjectName=Processor CounterName="% Processor Time" CounterValue>90 Type=Perf ObjectName=Processor CounterName="% Processor Time" | measure avg(CounterValue) by Computer | where AggregatedValue>90

Regole di avviso Unità di misura della metricaMetric measurement alert rules

Nota

Le regole di avviso Unità di misura della metrica sono attualmente disponibili in anteprima pubblica.Metric measurement alert rules are currently in public preview.

Le regole di avviso Unità di misura della metrica creano un avviso per ogni oggetto in una query con un valore che supera una soglia specificata.Metric measurement alert rules create an alert for each object in a query with a value that exceeds a specified threshold. Presentano le differenze seguenti dalle regole di avviso Numero di risultati.They have the following distinct differences from Number of results alert rules.

Sebbene sia possibile usare qualsiasi query per una regola di avviso Numero di risultati, esistono requisiti specifici della query per una regola di avviso per l'unità di misura della metrica.While you can use any query for a Number of results alert rule, there are specific requirements the query for a metric measurement alert rule. Deve includere un comando di misurazione per raggruppare i risultati in un campo specifico.It must include a Measure command to group the results on a particular field. Questo comando deve includere gli elementi seguenti.This command must include the following elements.

  • Funzione di aggregazione.Aggregate function. Determina il calcolo che viene eseguito e potenzialmente un campo numerico da aggregare.Determines the calculation that is performed and potentially a numeric field to aggregate. Ad esempio, count() restituirà il numero di record nella query, avg(CounterValue) restituirà la media del campo CounterValue nell'intervallo.For example, count() will return the number of records in the query, avg(CounterValue) will return the average of the CounterValue field over the interval.
  • Campo Gruppo.Group Field. Viene creato un record con un valore aggregato per ogni istanza di questo campo e può essere generato un avviso per ognuno di essi.A record with an aggregated value is created for each instance of this field, and an alert can be generated for each. Ad esempio, se si desidera generare un avviso per ogni computer, si userà dal Computer.For example, if you wanted to generate an alert for each computer, you would use by Computer.
  • Intervallo.Interval. Definisce l'intervallo di tempo in cui i dati vengono aggregati.Defines the time interval over which the data is aggregated. Ad esempio, se è stato specificato 5minutes, viene creato un record per ogni istanza del campo Gruppo aggregato a intervalli di 5 minuti nella finestra temporale specificata per l'avviso.For example, if you specified 5minutes, a record would be created for each instance of the group field aggregated at 5 minute intervals over the time window specified for the alert.

SogliaThreshold

La soglia per le regole di avviso Unità di misurazione della metrica è definita da un valore di aggregazione e da un numero di violazioni della sicurezza.The threshold for Metric measurement alert rules is defined by an aggregate value and a number of breaches. Se qualsiasi punto dati in una ricerca di log supera questo valore, ciò viene considerato una violazione.If any data point in the log search exceeds this value, it's considered a breach. Se il numero di violazioni per un oggetto nei risultati supera il valore specificato, viene creato un avviso per l'oggetto.If the number of breaches in for any object in the results exceeds the specified value, then an alert is created for that object.

EsempioExample

Si consideri uno scenario in cui si desidera creare un avviso se l'uso del processo di un computer supera il 90% tre volte in 30 minuti.Consider a scenario where you wanted an alert if any computer exceeded processor utilization of 90% three times over 30 minutes. Si deve creare una regola di avviso con i dettagli seguenti.You would create an alert rule with the following details.

Query: Perf | where ObjectName == "Processor" and CounterName == "% Processor Time" | summarize AggregatedValue = avg(CounterValue) by bin(TimeGenerated, 5m), ComputerQuery: Perf | where ObjectName == "Processor" and CounterName == "% Processor Time" | summarize AggregatedValue = avg(CounterValue) by bin(TimeGenerated, 5m), Computer
Intervallo di tempo: 30 minuti Time window: 30 minutes
Frequenza di avviso: 5 minuti Alert frequency: 5 minutes
Valore di aggregazione: maggiore di 90 Aggregate value: Great than 90
Attiva l'avviso in base a: violazioni totali maggiori di 5 Trigger alert based on: Total breaches Greater than 5

La query crea un valore medio per ogni computer a intervalli di 5 minuti.The query would create an average value for each computer at 5 minute intervals. Questa query verrebbe eseguita ogni 5 minuti per i dati raccolti nei 30 minuti precedenti.This query would be run every 5 minutes for data collected over the previous 30 minutes. Di seguito sono illustrati dati di esempio per tre computer.Sample data is shown below for three computers.

Risultati della query di esempio

In questo esempio, verranno creati avvisi separati per srv02 e srv03 poiché hanno superato la soglia del 90% 3 volte nell'intervallo di tempo.In this example, separate alerts would be created for srv02 and srv03 since they breached the 90% threshold 3 times over the time window. Se Attiva l'avviso in base: venisse modificato in Consecutivo verrebbe creato un avviso solo per srv03 poiché ha violato la soglia di 3 volte consecutive.If the Trigger alert based on: were changed to Consecutive then an alert would be created only for srv03 since it breached the threshold for 3 consecutive samples.

Record di avvisiAlert records

I record degli avvisi creati dalle regole di avviso in Log Analytics hanno un Tipo impostato su Avviso e SourceSystem impostato su OMS.Alert records created by alert rules in Log Analytics have a Type of Alert and a SourceSystem of OMS. Includono le proprietà elencate nella tabella seguente.They have the properties in the following table.

ProprietàProperty DescrizioneDescription
TipoType AvvisoAlert
SourceSystemSourceSystem OMSOMS
ObjectObject Gli avvisi di misurazione della metrica avranno una proprietà per il campo di Gruppo.Metric measurement alerts will have a property for the group field. Ad esempio, se la ricerca log si raggruppa sul computer, il record dell'avviso contiene un campo Computer con il nome del computer come valore.For example, if the log search groups on Computer, the alert record with have a Computer field with the name of the computer as the value.
AlertNameAlertName Nome dell'avviso.Name of the alert.
AlertSeverityAlertSeverity Livello di gravità dell'avviso.Severity level of the alert.
LinkToSearchResultsLinkToSearchResults Collegamento alla ricerca nei log di Log Analytics che restituisce i record della query che ha creato l'avviso.Link to Log Analytics log search that returns the records from the query that created the alert.
QueryQuery Testo della query eseguita.Text of the query that was run.
QueryExecutionEndTimeQueryExecutionEndTime Fine dell'intervallo di tempo per la query.End of the time range for the query.
QueryExecutionStartTimeQueryExecutionStartTime Inizio dell'intervallo di tempo per la query.Start of the time range for the query.
ThresholdOperatorThresholdOperator Operatore usato dalla regola di avviso.Operator that was used by the alert rule.
ThresholdValueThresholdValue Valore usato dalla regola di avviso.Value that was used by the alert rule.
TimeGeneratedTimeGenerated Data e ora in cui è stato creato l'avviso.Date and time the alert was created.

Sono disponibili altri tipi di record di avviso creati dalla soluzione Gestione avvisi e dalle esportazioni di Power BI.There are other kinds of alert records created by the Alert Management solution and by Power BI exports. Questi record hanno un Tipo impostato su Avviso ma vengono distinti da relativo SourceSystem.These all have a Type of Alert but are distinguished by their SourceSystem.

Passaggi successiviNext steps