Utilizzo delle regole di avviso in Log AnalyticsWorking with alert rules in Log Analytics

Gli avvisi vengono creati da regole di avviso che eseguono automaticamente ricerche log a intervalli regolari.Alerts are created by alert rules that automatically run log searches at regular intervals. Viene quindi creato un record di avviso se i risultati corrispondono a particolari criteri.They create an alert record if the results match particular criteria. La regola può quindi eseguire automaticamente una o più azioni per notificare l'avviso all'utente in modo proattivo o richiamare un altro processo.The rule can then automatically run one or more actions to proactively notify you of the alert or invoke another process.

Questo articolo descrive come creare e modificare le regole di avviso tramite il portale di OMS.This article describes the processes to create and edit alert rules using the OMS portal. Per informazioni dettagliate sulle diverse impostazioni e su come implementare la logica necessaria, vedere Informazioni sugli avvisi in Log Analytics.For details about the different settings and how to implement required logic, see Understanding alerts in Log Analytics.

Nota

Al momento non è possibile creare o modificare una regola di avviso tramite il portale di Azure.You cannot currently create or modify an alert rule using the Azure portal.

Creare una regola di avvisoCreate an alert rule

Per creare una regola di avviso usando il portale di OMS, è necessario creare prima di tutto una ricerca log per i record che dovranno richiamare l'avviso.To create an alert rule using the OMS portal, you start by creating a log search for the records that should invoke the alert. Il pulsante Avviso diventerà disponibile per poter creare e configurare la regola di avviso.The Alert button will then be available so you can create and configure the alert rule.

Nota

Attualmente, è possibile creare un massimo di 250 regole di avviso in un'area di lavoro OMS.A maximum of 250 alert rules can currently be created in an OMS workspace.

  1. Dalla pagina di panoramica di OMS fare clic su Ricerca log.From the OMS Overview page, click Log Search.
  2. Creare una nuova query di ricerca nei log o selezionarne una salvata.Either create a new log search query or select a saved log search.
  3. Fare clic su Avviso nella parte superiore della pagina per aprire la schermata Aggiungi regola di avviso.Click Alert at the top of the page to open the Add Alert Rule screen.
  4. Configurare la regola di avviso con le informazioni della sezione Dettagli delle regole di avviso seguente.Configure the alert rule using information in Details of alert rules below.
  5. Fare clic su Salva per salvare la regola di avviso.Click Save to complete the alert rule. Verrà avviata immediatamente l'esecuzione.It will start running immediately.

Modificare una regola di avvisoEdit an alert rule

È possibile ottenere un elenco di tutte le regole di avviso nel menu Avvisi delle Impostazioni di Log Analytics.You can get a list of all alert rules in the Alerts menu in Log Analytics Settings.

Gestisci avvisi

  1. Nella console di OMS selezionare il riquadro Impostazioni .In the OMS console select the Settings tile.
  2. Selezionare Avvisi.Select Alerts.

Da questa visualizzazione è possibile eseguire più azioni.You can perform multiple actions from this view.

  • Disabilitare una regola selezionando No accanto alla regola desiderata.Disable a rule by selecting Off next to it.
  • Modificare una regola di avviso facendo clic sull'icona a forma di matita accanto alla regola.Edit an alert rule by clicking the pencil icon next to it.
  • Rimuovere una regola di avviso facendo clic sull'icona a forma di X accanto alla regola.Remove an alert rule by clicking the X icon next to it.

Dettagli delle regole di avvisoDetails of alert rules

Quando si crea o modifica una regola di avviso nel portale di OMS, si lavora con le pagine Aggiungi regola di avviso o Modifica regola di avviso.When you create or edit an alert rule in the OMS portal, you work with the Add Alert Rule or Edit Alert Rule page. Nelle tabelle seguenti vengono descritti i campi di questa schermata.The following tables describe the fields in this screen.

Regola di avviso

Informazioni sull'avvisoAlert information

Si tratta di impostazioni di base per la regola di avviso e gli avvisi che questa crea.These are basic settings for the alert rule and the alerts it creates.

ProprietàProperty DescrizioneDescription
NomeName Nome univoco per identificare la regola di avviso.Unique name to identify the alert rule. Questo nome è incluso in tutti gli avvisi creati dalla regola.This name is included in any alerts created by the rule.
DescrizioneDescription Descrizione facoltativa della regola di avviso.Optional description of the alert rule.
SeveritySeverity Livello di gravità di tutti gli avvisi creati da questa regola.Severity of any alerts created by this rule.

Finestra della query di ricerca e dell'intervallo di tempoSearch query and time window

La finestra della query di ricerca e dell'intervallo di tempo che restituisce i record da valutare per determinare se è necessario creare avvisi.The search query and time window that return the records that are evaluated to determine if any alerts should be created.

ProprietàProperty DescrizioneDescription
Query di ricercaSearch query La query che viene eseguita.This is the query that will be run. I record restituiti da questa query verranno usati per determinare se viene creato un avviso.The records returned by this query will be used to determine whether an alert is created.

Selezionare Usa query di ricerca corrente per usare la query corrente o selezionare una ricerca salvata dall'elenco.Select Use current search query to use the current query or select an existing saved search from the list. La sintassi della query è disponibile nella casella di testo dove può essere modificata, se necessario.The query syntax is provided in the text box where you can modify it if necessary.
Intervallo di tempoTime window Specifica l'intervallo di tempo per la query.Specifies the time range for the query. La query restituisce solo i record creati in questo intervallo dell'ora corrente.The query returns only records that were created within this range of the current time. Può essere un valore qualsiasi compreso tra 5 minuti e 24 ore.This can be any value between 5 minutes and 24 hours. Deve essere maggiore o uguale alla frequenza degli avvisi.It should be greater than or equal to the alert frequency.

Ad esempio, se l'intervallo di tempo è impostato su 60 minuti e la query viene eseguita alle 13.15 , verranno restituiti solo i record creati tra 12.15 e le 13.15.For example, If the time window is set to 60 minutes, and the query is run at 1:15 PM, only records created between 12:15 PM and 1:15 PM will be returned.

Quando si specifica l'intervallo di tempo per la regola di avviso, verrà visualizzato il numero di record esistenti che corrispondono ai criteri di ricerca per tale intervallo di tempo.When you provide the time window for the alert rule, the number of existing records that match the search criteria for that time window will be displayed. Ciò consente di determinare la frequenza con cui verrà visualizzato il numero di risultati previsti.This can help you determine the frequency that will give you the number of results that you expect.

PianificazioneSchedule

Definisce la frequenza con cui viene eseguita la query di ricerca.Defines how often the search query is run.

ProprietàProperty DescrizioneDescription
Frequenza di avvisoAlert frequency Specifica la frequenza con cui deve essere eseguita la query.Specifies how often the query should be run. Può essere un valore qualsiasi compreso tra 5 minuti e 24 ore.Can be any value between 5 minutes and 24 hours. Deve essere uguale o minore dell'intervallo di tempo.Should be equal to or less than the time window. Se il valore è maggiore dell'intervallo di tempo, si rischia di omettere il record.If the value is greater than the time window, then you risk records being missed.

Si considerino ad esempio un intervallo di tempo di 30 minuti e una frequenza pari a 60 minuti.For example, consider a time window of 30 minutes and a frequency of 60 minutes. Una query eseguita alle 13:00 restituirà i record compresi tra le 12:30 e le 13:00.If the query is run at 1:00, it returns records between 12:30 and 1:00 PM. La volta successiva, la query verrà eseguita alle 14:00 e restituirà i record compresi tra le 13:30 e le 14:00.The next time the query would run is 2:00 when it would return records between 1:30 and 2:00. Qualsiasi record creato tra le 13:00 e 13:30 non verrà mai valutato.Any records created between 1:00 and 1:30 would never be evaluated.

Genera l'avviso in base aGenerate alert based on

Definisce i criteri che verranno valutati rispetto ai risultati della query di ricerca per determinare se è necessario creare un avviso.Defines the criteria that will be evaluated against the results of the search query to determine if an alert should be created. Questi dettagli saranno diversi a seconda del tipo di regola di avviso selezionato.These details will be different depending on the type of alert rule that you select. È possibile ottenere i dettagli per i differenti tipi di regole di avviso da Informazioni sugli avvisi in Log Analytics.You can get details for the different alert rule types from Understanding alerts in Log Analytics.

ProprietàProperty DescrizioneDescription
Elimina avvisiSuppress alerts Quando si attiva l'eliminazione per la regola di avviso, le azioni della regola vengono disabilitate per un periodo di tempo definito dopo la creazione di un nuovo avviso.When you turn on suppression for the alert rule, actions for the rule are disabled for a defined length of time after creating a new alert. La regola è ancora in esecuzione e, se i criteri vengono soddisfatti, creerà i record di avviso.The rule is still running and will create alert records if the criteria is met. In questo modo, l'utente ha il tempo necessario per risolvere il problema senza eseguire azioni duplicate.This is to allow you time to correct the problem without running duplicate actions.

Regole di avviso Numero di risultatiNumber of results alert rules

ProprietàProperty DescrizioneDescription
Numero di risultatiNumber of results Viene creato un avviso se il numero di record restituiti dalla query è superiore o inferiore al valore fornito.An alert is created if the number of records returned by the query is either greater than or less than the value you provide.

Regole di avviso Unità di misura della metricaMetric measurement alert rules

ProprietàProperty DescrizioneDescription
Valore di aggregazioneAggregate value Valore soglia che ogni valore di aggregazione nei risultati deve superare per essere considerato una violazione.Threshold value that each aggregate value in the results must exceed to be considered a breach.
Attiva l'avviso in base aTrigger alert based on Il numero di violazioni della sicurezza per creare un avviso.The number of breaches for an alert to be created. È possibile specificare le violazioni totali per qualsiasi combinazione di violazioni nei set di risultati o le violazioni consecutive necessarie che devono verificarsi in campioni consecutivi.You can specify Total breaches for any combination of breaches across the results set or Consecutive breaches to require that the breaches must occur in consecutive samples.

AzioniActions

Le regole di avviso creano sempre un record di avviso quando viene raggiunta la soglia.Alert rules will always create an alert record when the threshold is met. È anche possibile definire una o più risposte da eseguire, ad esempio l'invio di un messaggio di posta elettronica o l'avvio di un runbook.You can also define one or more responses to be run such as sending an email or starting a runbook.

Azioni di posta elettronicaEmail actions

Le azioni di posta elettronica inviano un messaggio di posta elettronica con i dettagli dell'avviso a uno o più destinatari.Email actions send an e-mail with the details of the alert to one or more recipients.

ProprietàProperty DescrizioneDescription
Notifica tramite posta elettronicaEmail notification Specificare se si vuole inviare un messaggio di posta elettronica quando viene generato l'avviso.Specify Yes if you want an email to be sent when the alert is triggered.
OggettoSubject Oggetto nel messaggio di posta elettronica.Subject in the email. È possibile modificare il corpo del messaggio.You cannot modify the body of the mail.
DestinatariRecipients Indirizzi di tutti i destinatari di posta elettronica.Addresses of all e-mail recipients. Se si specifica più di un indirizzo, separare ognuno con un punto e virgola (;).If you specify more than one address, then separate the addresses with a semicolon (;).

Azioni webhookWebhook actions

Le azioni Webhook consentono di richiamare un processo esterno tramite una singola richiesta HTTP POST.Webhook actions allow you to invoke an external process through a single HTTP POST request.

ProprietàProperty DescrizioneDescription
webhookWebhook Specificare se si vuole chiamare un webhook quando viene generato l'avviso.Specify Yes if you want to call a webhook when the alert is triggered.
URL webhookWebhook URL URL del webhook.The URL of the webhook.
Includi payload JSON personalizzatoInclude custom JSON payload Selezionare questa opzione se si vuole sostituire il payload predefinito con un payload personalizzato.Select this option if you want to replace the default payload with a custom payload.
Specificare il payload JSON personalizzatoEnter your custom JSON payload Payload personalizzato per il webhook.The custom payload for the webhook. Per informazioni dettagliate, vedere la sezione precedente.See previous section for details.

Azioni runbookRunbook actions

Le azioni runbook avviano un runbook in Automazione di Azure.Runbook actions start a runbook in Azure Automation.

Nota

È necessario che la soluzione Automazione sia installata nell'area di lavoro per poter abilitare questa azione.You must have the Automation solution installed in your workspace for this action to be enabled.

ProprietàProperty DescrizioneDescription
RunbookRunbook Specificare se si vuole avviare un runbook di Automazione di Azure quando viene generato l'avviso.Specify Yes if you want to start an Azure Automation runbook when the alert is triggered.
Account di AutomazioneAutomation account Specifica l'account di Automazione da cui vengono selezionati i runbook.Specifies the Automation account that runbooks are selected from. Si tratta dell'account Azione collegato all'area di lavoro.This is the Action account that's linked to the workspace.
Selezionare un runbookSelect a runbook Selezionare il runbook da avviare quando viene creato un avviso.Select the runbook that you want to start when an alert is created.
Esegui inRun on Selezionare Azure per eseguire il runbook nel cloud.Select Azure to run the runbook in the cloud. Selezionare Ruolo di lavoro ibrido per eseguire il runbook in un agente in cui è installato un ruolo di lavoro ibrido per runbook.Select Hybrid worker to run the runbook on an agent with Hybrid Runbook Worker installed.

Passaggi successiviNext steps