Anomāliju noteikšana žurnālos izmanto mašīnmācīšanos, lai automātiski pamanītu neparastus modeļus, savukārt uz noteikumiem balstīta brīdināšana balstās uz iepriekš definētiem nosacījumiem, lai aktivizētu paziņojumus. Abas pieejas palīdz komandām uzraudzīt sistēmas, taču tās ievērojami atšķiras pēc elastības, trokšņa līmeņa un tā, kā tās apstrādā nezināmus draudus.
Mašīnmācīšanās pieeja, kas identificē neparastus modeļus vai uzvedību žurnāldatos, nepaļaujoties uz iepriekš definētiem noteikumiem.
Tradicionāla uzraudzības pieeja, kas aktivizē brīdinājumus, kad žurnāla ieraksti atbilst iepriekš definētiem modeļiem vai sliekšņiem.
| Funkcija | Anomāliju noteikšana žurnālos | Uz noteikumiem balstīta brīdināšana |
|---|---|---|
| Noteikšanas metode | Mašīnmācīšanās un statistiskā modelēšana | Iepriekš definēti modeļi un sliekšņi |
| Novērš nezināmus draudus | Jā, var atzīmēt jaunas anomālijas | Nē, uztver tikai zināmus stāvokļus |
| Iestatīšanas sarežģītība | Augstāks, nepieciešami apmācības dati un regulēšana | Zemāk, vienkārši uzrakstiet noteikumu |
| Brīdinājuma troksnis | Var būt augsts sākotnējās apmācības laikā | Paredzams un konsekvents |
| Interpretējamība | Bieži vien neskaidrs, nepieciešami skaidrojoši rīki | Caurspīdīgs, noteikumu loģika ir redzama |
| Apkopes piepūle | Periodiska pārkvalifikācija, mainoties uzvedībai | Nepieciešami pastāvīgi noteikumu atjauninājumi |
| Vislabāk piemērots | Dinamiskas vides ar mainīgiem draudiem | Stabilas sistēmas ar zināmiem atteices režīmiem |
| Atbildes laiks | Gandrīz reāllaikā ar straumēšanas modeļiem | Reāllaikā, kad tiek apstrādāti žurnāli |
Uz noteikumiem balstīta brīdināšana darbojas kā kontrolsaraksts. Inženieris uzraksta nosacījumu, un, kad žurnāla dati tam atbilst, tiek aktivizēts brīdinājums. Anomāliju noteikšana to apgriež otrādi: tā vietā, lai norādītu sistēmai, ko meklēt, jūs ļaujat tai iemācīties, kā izskatās normāli, un pēc tam atzīmējat visu, kas atšķiras. Praktiskā atšķirība ir tāda, ka noteikumiem ir nepieciešams iepriekš paredzēt problēmas, savukārt anomāliju noteikšana var atklāt pārsteigumus, par kuriem nekad neesat iedomājies uzrakstīt noteikumu.
Noteikumi mēdz būt precīzi, bet neprecīzi. Noteikums, kas rakstīts vienai videi, var pārpludināt citu ar kļūdaini pozitīviem rezultātiem. Anomāliju noteikšanas modeļi pielāgojas kontekstam, tāpēc smaile, kas ir normāla ražošanas vidē, var tikt atzīmēta izmēģinājuma versijā. Tomēr agrīnajā apmācības fāzē šie modeļi bieži rada troksni, līdz tie stabilizējas. Daudzas komandas atklāj, ka abu pieeju apvienošana nodrošina vislabāko signāla un trokšņa attiecību.
Noteikumu rakstīšana un uzturēšana ir nebeidzams uzdevums. Katrs jauns pakalpojums, katras infrastruktūras izmaiņas, katrs jauns apdraudējums nozīmē vēl vienu noteikumu, kas jāpievieno vai jāatjaunina. Anomāliju noteikšana pārnes šo slogu uz modeļu apmācību un pārapmācību, ko var automatizēt, taču tai joprojām ir nepieciešama uzraudzība. Neviena no šīm pieejām nav īsti "iestati un aizmirsti", lai gan anomāliju noteikšana parasti labāk mērogojama lielās, strauji mainīgās vidēs.
Uz noteikumiem balstīta brīdināšana izceļas regulētās vidēs, kur ir jāpierāda, ka ir ieviestas īpašas pārbaudes, un tādu labi saprotamu sistēmu kā datubāzu vai tīkla ierīču uzraudzībā. Anomāliju noteikšana izceļas mikropakalpojumu arhitektūrās, mākoņplatformās un drošības operācijās, kur uzbrucēji pastāvīgi maina taktiku. Lielākā daļa nobriedušu organizāciju izmanto abus: noteikumus zināmai atbilstības pārbaudei un SLA pārbaudēm, anomāliju noteikšanu visam pārējam.
Uz noteikumiem balstītas sistēmas sākotnēji ir lētākas ieviest, jo tām nav nepieciešama apmācības infrastruktūra vai specializētas zināšanas. Anomāliju noteikšanai ir nepieciešamas investīcijas datu cauruļvados, modeļu glabāšanā un bieži vien grafiskajā procesorā vai specializētā skaitļošanas tehnoloģijā reāllaika secinājumu veikšanai. Tomēr laika gaitā tūkstošiem noteikumu uzturēšanas darbaspēka izmaksas var pārsniegt mašīnmācīšanās noteikšanas infrastruktūras izmaksas, īpaši lielā mērogā.
Anomāliju noteikšana pilnībā aizstās uz noteikumiem balstītu brīdināšanu.
Praksē lielākā daļa organizāciju izmanto abus. Noteikumi apstrādā precīzi definētas pārbaudes, piemēram, atbilstību un SLA uzraudzību, savukārt anomāliju noteikšana aptver visu pārējo. Noteikumu aizstāšana ar visiem noteikumiem zaudētu caurspīdīgumu un paredzamību, kas vispār padara noteikumus vērtīgus.
Uz noteikumiem balstīta brīdināšana ir novecojusi un novecojusi.
Noteikumi joprojām ir būtiski daudzos lietošanas gadījumos, īpaši regulētās nozarēs un zināmu kļūmju režīmu uzraudzībai. Šī pieeja ir vienkārša, auditējama un ātra. Mainīta ir tā, ka ar noteikumiem vien nepietiek modernai, dinamiskai infrastruktūrai.
Anomāliju noteikšana vienmēr rada mazāk viltus pozitīvu rezultātu nekā noteikumi.
Apmācības fāzē anomāliju noteikšana bieži rada vairāk trokšņa nekā noteikumi. Pat pēc stabilizācijas modeļi var atzīmēt labdabīgas uzvedības izmaiņas kā anomālijas. Sliekšņu un atgriezeniskās saites cilpu regulēšana ir ļoti svarīga, lai saglabātu kļūdaini pozitīvo rezultātu biežumu pārvaldāmu.
Lai izmantotu anomāliju noteikšanu, ir nepieciešama datu zinātnes komanda.
Daudzas modernas novērojamības platformas tagad piedāvā iebūvētu anomāliju noteikšanu, kas darbojas uzreiz pēc instalēšanas. Tādi rīki kā Datadog, New Relic un Splunk ir automatizējuši smago darbu, padarot to pieejamu bez īpašas mašīnmācīšanās komandas.
Noteikumi vienmēr ir ātrāki nekā anomāliju noteikšana.
Lai gan noteikumi tiek novērtēti ātri, anomāliju noteikšana, izmantojot straumēšanas modeļus, var darboties arī reāllaikā. Latentuma atšķirība mūsdienu sistēmās bieži vien ir niecīga, īpaši, ja abas apstrādā žurnālus, izmantojot vienu un to pašu cauruļvadu.
Izvēlieties uz noteikumiem balstītu brīdināšanu, ja nepieciešamas paredzamas, auditējamas pārbaudes zināmiem apstākļiem un stabila vide. Izvēlieties anomāliju noteikšanu, ja jūsu sistēmas ir sarežģītas un attīstās, un jums ir jāpamana neparedzami draudi vai kļūmes. Praksē spēcīgākās uzraudzības stratēģijas apvieno abus, izmantojot atbilstības noteikumus un anomāliju noteikšanu atklāšanai.
A/B testēšana modeļu apkalpošanā novirza trafiku starp konkurējošām modeļu versijām, lai novērtētu reālo veiktspēju, savukārt viena modeļa ieviešana visiem lietotājiem nosūta vienu modeli. Komandas izvēlas starp tiem, pamatojoties uz riska toleranci, trafika apjomu un statistiskās validācijas nepieciešamību pirms pilnīgas ieviešanas.
A/B testēšana satura izlaidumos ietver variāciju ieviešanu dažādiem auditorijas segmentiem un veiktspējas mērīšanu, savukārt vienreizēji satura izlaidumi vienlaikus nodrošina vienu versiju visiem lietotājiem. Katra pieeja atbilst dažādiem mērķiem, A/B testēšanai dodot priekšroku uz datiem balstītai optimizācijai, bet vienreizējiem izlaidumiem prioritāte ir ātrums un vienkāršība.
Adaptīvā izguve dinamiski pielāgo, kā un kādu informāciju sistēma izgūst, pamatojoties uz vaicājumu, savukārt statiskās izguves cauruļvadi ievēro fiksētus noteikumus neatkarīgi no konteksta. Abas nodrošina modernas mākslīgā intelekta lietojumprogrammas, taču tās ievērojami atšķiras pēc elastības, izmaksām un precizitātes. Izvēle starp tām ir atkarīga no darba slodzes sarežģītības un budžeta.
Šajā detalizētajā salīdzinājumā tiek pētītas adaptīvo intelekta dzinēju arhitektūras atšķirības, darbības ierobežojumi un reālā veiktspēja salīdzinājumā ar fiksētas uzvedības automatizācijas sistēmām. Mēs aplūkojam, kā sistēmas, kas nepārtraukti mācās no jauniem vides datiem, atbilst stingrām, paredzamām, uz noteikumiem balstītām sistēmām.
Aģentu apmācība vidēs ietver mācīšanos, izmantojot reāllaika mijiedarbību ar simulētu vai fizisku vidi, savukārt bezsaistes datu kopu apmācība balstās uz iepriekš apkopotiem datiem bez papildu piekļuves videi. Abas pieejas apmāca mašīnmācīšanās modeļus, taču būtiski atšķiras tas, kā aģenti apkopo pieredzi un uzlabo veiktspēju.
