[B-6] ネットワークシステム

15:15 〜 15:30

[B-6-31] 識別子と監視文字列の衝突に起因する 誤検知を抑制する方法

〇山内 晴貴¹、荒岡 誠¹ (1. NTT株式会社)

キーワード：

ログ監視、誤検知、誤発報、文字列一致検知

装置管理用コントローラの監視運用では，サービスの安定提供に向けて、監視システムによりリソース状況やログ等を収集し異常兆候を早期に検知するといった運用を行うケースがある。なかでもログ監視では，エラーメッセージ等の監視文字列を検知条件として設定し，文字列一致をトリガに異常検知を行う方式が従来より実施されてきた。
しかし，監視文字列が装置名等の識別子に含まれる場合，文脈を判別できず意図しないログに対して誤検知や警報の誤発報が生じるおそれがある。誤検知が発生した場合，ログ確認や原因調査や抑止設定の検討といった個別調査が必要となり，設定要否の判断に必要な情報を複数確認する必要がある。これにより運用負荷の増大やアラートの信頼性低下を招き，重要アラートの見落としにつながる。
また，誤検知を未然に防ぐためには事前確認が有効であるが，対象が多岐にわたるため人手による確認では見落としが生じやすいという課題がある。
そこで本稿では，監視設定または識別子の追加・変更前に監視文字列と識別子の衝突を事前に確認し，衝突有無や衝突箇所等の情報を運用者に提示することで誤検知を抑制する方式を検討した。