Per document monitors
출처: 문서
본문
문서별 모니터(Per document monitors)
2.0에 도입 {: .label .label-purple }
문서별 모니터는 OpenSearch 인덱스에서 특정 문서를 식별하고 경보를 발생시키는 데 사용할 수 있는 경보 모니터의 한 유형이에요. 예를 들어 이 모니터를 사용해 다음과 같은 작업을 할 수 있어요:
- 손상된 데이터나 승인되지 않은 변경 사항을 탐지해요.
- 모든 문서가 특정 필드를 포함하는지, 필드의 값이 특정 범위 안에 있는지 확인하는 등 데이터 품질 정책을 강제해요.
- 감사와 컴플라이언스 목적에 도움이 되도록 시간 경과에 따른 특정 문서의 변경 사항을 추적해요
문서별 모니터는 크로스 클러스터 검색을 지원하지 않아요. {: .note}
쿼리 정의하기
문서별 모니터에서는 선택한 필드를 원하는 값과 비교하는 쿼리를 최대 10개까지 정의할 수 있어요. 다음 연산자를 사용해 지원되는 필드 데이터 타입을 정의할 수 있어요:
isis notis greater thanis greater than equalis less thanis less than equal
각 트리거를 쿼리할 때는 태그를 최대 10개까지 사용할 수 있어요. 이때 단일 쿼리를 지정하는 대신 태그를 하나의 트리거 조건으로 추가해요. Alerting 플러그인은 모든 쿼리의 트리거 조건을 논리적 OR 연산으로 처리하기 때문에, 쿼리 조건 중 하나라도 충족되면 경보가 발동돼요. 그런 다음 Alerting 플러그인은 Notifications 플러그인에게 경보 알림을 채널로 보내도록 지시해요.
문서별 모니터에서는 태그---즉, 여러 쿼리에 적용해 논리적 OR 연산으로 결합할 수 있는 라벨---만 사용할 수 있어요.
{: .important}
문서 파인딩(Document findings)
Alerting 플러그인은 각 쿼리에 어떤 문서가 매칭됐는지에 대한 메타데이터를 담은 파인딩(Findings) 목록을 생성해요. _파인딩(Finding)_은 문서별 모니터 쿼리가 경보 조건을 충족하는 것으로 식별한 문서에 대한 기록이에요. 파인딩의 주요 구성 요소로는 문서 ID, 타임스탬프, 경보 조건 세부 정보가 있어요. 파인딩은 Findings 인덱스인 .opensearch-alerting-finding*에 저장돼요.
Security Analytics는 이 파인딩 데이터를 활용해 경보 프로세스와 별개로 쿼리 데이터를 추적하고 분석할 수 있어요. 자세한 내용은 파인딩 다루기를 참고하세요. {: .note}
Alerting API는 OpenSearch Dashboards의 _문서별 모니터_와 동일한 기능을 프로그래밍 방식으로 수행하는 _문서 수준 모니터(document-level monitor)_도 제공해요. 자세한 내용은 문서 수준 모니터를 참고하세요.
수집량이 많은 클러스터에서 파인딩이 대량으로 쌓이는 것을 막기 위해, 규칙이 잘 정의되어 있지 않은 한 파인딩마다 경보 알림을 구성하는 것은 권장하지 않아요. {: .important}
각 문서 파인딩 항목에는 다음과 같은 메타데이터가 제공돼요:
- 문서: 문서 ID와 인덱스 이름이에요. 예시:
Re5akdirhj3fl | test-logs-index. - 쿼리: 해당 문서와 매칭된 쿼리의 이름이에요.
- 발견 시간: 런타임 중 문서가 발견된 시점을 나타내는 타임스탬프예요.