Comprender y utilizar los objetos ServicePilot Search
¿Qué es un objeto ServicePilot Search?
Los sistemas informáticos generan cada vez más datos: registros de aplicaciones, métricas de sistemas, eventos de red, KPI empresariales y telemetría diversa. La capacidad de extraer, analizar y transformar estos datos en indicadores relevantes se ha convertido en un reto importante para los equipos informáticos y empresariales. ¿Cómo transformar eficazmente estos datos brutos en indicadores relevantes y objetos explotables en ServicePilot?
Para responder a esta necesidad, ServicePilot propone un concepto potente: los objetos Search.
Un objeto Search es un objeto estándar de ServicePilot alimentado directamente por una consulta ejecutada en la base de datos interna de ServicePilot.
El principio de funcionamiento es sencillo. La ejecución de una consulta permite al motor de búsqueda de ServicePilot filtrar las métricas, los registros o los eventos según los criterios definidos. Esto permite a ServicePilot extraer o agregar los datos correspondientes para que se almacenen en un objeto con marca de tiempo y se actualicen a intervalos regulares. Este objeto se convierte entonces en una fuente de datos como cualquier otra en ServicePilot, beneficiándose de todas las funcionalidades de la plataforma: gráficos, cuadros de mando, informes, alertas, correlaciones...
ServicePilot ofrece múltiples Packages con umbrales integrados, pero también proporciona la flexibilidad necesaria para profundizar en el análisis estadístico y refinar la supervisión según las necesidades específicas.
Casos de uso concretos
Transformación de logs en métricas
La agregación de logs del sistema, de red, de aplicaciones o de seguridad a través de un objeto ServicePilot Search ofrece una visión general de los eventos críticos. Al destacar las anomalías y las tendencias significativas, como un aumento repentino de las conexiones o los fallos de autenticación, anticipe posibles problemas y reforzar la seguridad de su sistema informático.
Por ejemplo, los errores en las aplicaciones y bases de datos pueden ser un indicador crucial de problemas subyacentes. Al crear un objeto ServicePilot Search que cuente estos errores, visualiza en tiempo real las fluctuaciones en su volumen y puede configurar alertas para reaccionar instantáneamente tan pronto como se alcance el umbral crítico.
Es fácil contar el número de errores en una base de datos DB2 entre los mensajes Syslogs recibidos:
→ Creación de una consulta que filtre la base de datos objetivo "db2server-1" y el tipo de mensaje "*unexpected system error*"
→ Recuento de estas ocurrencias cada X minutos con el objeto Search
→ Activación de una alerta tan pronto como se alcance el umbral definido y visualización de la tendencia
Agregación de métricas y estadísticas
Los objetos ServicePilot Search ofrecen una solución potente y flexible para la agregación de métricas, lo que permite a los usuarios transformar datos brutos dispares en información consolidada y útil. Se pueden aplicar operadores a las entradas descubiertas por la consulta para producir un valor resultante: recuento, suma, media, mínimo, máximo, suma al cuadrado, percentil, desviación estándar…
Tomemos como ejemplo un clúster de varios servidores IIS en el que queremos supervisar el rendimiento global. Al configurar una consulta Search que se dirige a todas las instancias IIS del clúster, esta extrae las métricas pertinentes y las agrega en tiempo real. Podríamos querer calcular la media de conexiones activas en todo el clúster o acumular las consultas procesadas por todos los servidores.
Con estos datos agregados, se crean automáticamente gráficos que se pueden utilizar en mapas o cuadros de mando personalizados para visualizar el rendimiento global del clúster IIS.
También se pueden configurar alertas para recibir notificaciones en caso de que se superen los umbrales críticos, como un aumento repentino del número de consultas o una disminución significativa de las conexiones activas.
Supervisión de los KPI de aplicaciones empresariales
ServicePilot ofrece la flexibilidad de recibir cualquier tipo de dato mediante un simple comando y el package "misc-data-receiver", lo que permite una integración fluida de datos personalizados.
Al crear KPI personalizados a partir de objetos ServicePilot Search, puede proporcionar a los equipos comerciales indicadores clave de rendimiento para integrarlos en mapas o cuadros de mando. El seguimiento de eventos empresariales, como transacciones, trabajos o procesamientos es esencial para garantizar la eficiencia operativa.
He aquí algunos ejemplos concretos:
- Número de pedidos recibidos
- Número de procesamientos correctos/fallidos
- Duración media de un proceso empresarial
- KPI empresariales
Al integrar KPI específicos de su sector, puede alinear la supervisión técnica con los objetivos estratégicos de su empresa. Esto permite supervisar y correlacionar los datos empresariales importantes para tomar decisiones informadas y optimizar los procesos.
La ausencia de eventos esperados puede ser a veces tan reveladora como su presencia. Al configurar un objeto ServicePilot Search para detectar estas ausencias, puede identificar rápidamente las interrupciones del servicio o los fallos que, de otro modo, podrían pasar desapercibidos. Por ejemplo, al supervisar transacciones financieras, si no se registra ninguna transacción durante un periodo determinado (por ejemplo, una hora), esto podría indicar un problema con el sistema de procesamiento de pagos o una interrupción del servicio.
¿Cómo crear un objeto ServicePilot Search?
Al crear un objeto Search, es fundamental adoptar algunas buenas prácticas para optimizar su rendimiento. Es crucial verificar siempre la relevancia de las consultas para evitar resultados demasiado amplios y utilizar filtros precisos para mejorar el rendimiento. Además, se recomienda definir frecuencias adaptadas al volumen de datos procesados y compartir las consultas guardadas para estandarizar el uso entre los diferentes equipos. Por último, correlacionar varios objetos Search permite enriquecer el análisis y obtener resultados más completos y precisos.
En el siguiente ejemplo, buscaremos y contaremos los eventos de Windows con el ID 1102 o 104 (Windows Event Logs Cleared). Estos eventos de Windows destacan las actividades de borrado de registros. Este comportamiento es significativo, ya que puede indicar un intento de ocultar las huellas tras actividades maliciosas. Si resulta ser malicioso, esta acción podría obstaculizar las investigaciones judiciales y permitir que los atacantes pasen desapercibidos.
El evento de seguridad ID 1102 es un evento de seguridad que indica que se ha borrado el registro de auditoría.
El evento de sistema ID 104 indica que se han borrado los registros de la aplicación.
Normalmente, estos eventos no deberían aparecer, a menos que los registros sean borrados manualmente por un administrador o por un proceso. Por lo tanto, se recomienda supervisarlos regularmente para detectar posibles fallos de seguridad.
Paso 1: pruebar la consulta de búsqueda
- Ir a la interfaz "Explorador de datos"
- Seleccione la colección "WindowsEvent" en la categoría "Object Log"
- Pruebe la consulta "EventID:(1102 OR 104)" para verificar los resultados
Paso 2: configurar el objeto Search
- Vaya a "Provisioning" y despliegue un package "misc-search"
- Indique el nombre de la búsqueda y, si lo desea, una descripción
- Rellene la fuente "Object Log" y la clase "WindowsEvent"
- Inserte la consulta que ha creado en el paso 1 "EventID:(1102 OR 104)"
- Ajuste la frecuencia de ejecución y, si es necesario, seleccione las operaciones estadísticas (count, avg, sum, min, max, etc.) que se aplicarán. En este caso, podemos dejar el Count por defecto
- Haga clic en los botones "OK" y "Save" para implementar el objeto Search
Paso 3: validar y explotar los datos
- Compruebe la coherencia de las métricas y ajústelas si es necesario. Para obtener mayor granularidad, podríamos definir una segunda consulta en el mismo objeto para contar los eventos 1002 y luego una tercera que se centre en el número de eventos 104
- Visualice la evolución a lo largo del tiempo para definir un umbral en una Policy de tipo Umbral
- Integrar el objeto Search en cuadros de mando personalizados y en mapas
- Configurar una política de tipo Alerta para recibir una notificación por correo electrónico cuando se supere el umbral definido
Transformar los datos brutos en información operativa
Los objetos ServicePilot Search son un elemento esencial para aprovechar al máximo los datos acumulados en sus entornos informáticos.
Permiten:
- Transformar datos brutos en objetos e indicadores estándar
- Crear alertas inteligentes
- Supervisar y visualizar tendencias
- Integrar los datos en cuadros de mando y mapas
- Acelerar los análisis y diagnósticos
- Mejorar la precisión de la supervisión
Ofrecen una forma sencilla, potente y flexible de explotar sus registros, métricas y eventos para mejorar la calidad de la supervisión y el rendimiento operativo.
