体验监控异常分析

本文说明如何使用XOps发现事件工作台和事件深入分析页面来分析由体验监控异常引擎检测到的异常行为的XOps事件。

有关如何使用故事工作台的更多信息，请参见在故事工作台中查看检测与响应XOps故事。

概概览

Cato的XOps服务基于体验监控检测异常活动，这可能表明应用程序或网络到应用程序性能存在问题。异常引擎初始监控和分析每个站点和每个应用程序的网络流量，为期14天，根据TTFB（Time to First Byte）为每个新应用程序建立基准。

在该期间之后，引擎每天运行一次前一天的数据，以查看是否存在明显的基准偏差。如果发生异常，则会生成一个故事。

注意：
如果同一天发生几个偏差，则只为它们生成一个故事。

即使在建立基准之后，这也是一个动态测量，会随着每天的数据更新。也就是说，初始基准是在前14天后建立的，但继续随着每天的新数据演变。

当异常引擎生成故事时，您可以在Stories Workbench中查看并深入分析故事数据。

这些是由体验监控异常引擎检测到的异常行为指示，用于生成事件：

指示	说明
站点中的应用程序响应时间异常	检测特定站点应用程序的首字节时间 (TTFB) 指标中的异常。
可能的应用程序中断由于广泛的超文本传输协议错误	检测Cato全球骨干流量中特定应用程序HTTP失败与成功的比率异常。

您可以在Stories Workbench中点击一个体验异常故事进行深入分析，并在不同页面上调查详细信息。此页面包含的附加信息可以帮助您开始对事件的调查。

请在Stories Workbench页面中点击一个体验异常故事以查看UEBA故事的详细信息。

查看事件仪表板页面：

这些是体验异常故事的小部件：

Name	说明
故事概要	页面顶部包含有关事件的基本信息摘要，包括：检测到的问题指示生成事件的生产者故事发生的源站点站点与其通信的应用程序事件状态
故事时间轴	在事件摘要下方，时间线显示事件状态的变化
详细信息	故事的基本详细信息，包括：描述和摘要第一个信号 - 与异常关联的第一个信号（流量流）的时间创建日期 - 故事生成的时间上次更新 - 最新的故事更新时间，例如新目标或更改后的裁定相似故事 - 显示具有相似详细信息的故事，如站点和应用程序。严重程度 - 问题对网络的潜在影响。数值范围从1（低影响）到10（高影响）
体验异常	应用程序体验的视觉呈现，该日的事件
实体	事件发生的实体。这些可以是用户、站点、数据存储、应用程序等。
首字节时间	显示HTTP请求和随时间的第一个字节接收之间的持续时间的图表
事件时间线	事件中检测到的问题和解决方案的事件列表。点击事件日志以显示预过滤的事件页面以显示事件
运行手册工作流	针对事件检测到的特定问题量身定制的逐步故障排除指南。这帮助您快速识别根本原因并通过清晰、可操作的方案解决问题。包括链接到相关文档。

一旦掌握了异常的基本信息，包括发生的站点、应用程序和时间，您可以使用体验监控小部件进一步调查故事。

例如，您可以按应用程序过滤，并使用应用程序性能选项卡查看关于异常时可能发生的问题的更多信息。此外，您可以使用隧道选项卡查看是否存在隧道问题，或者您在主机选项卡上可以看到访问应用程序的用户数量激增，这可能导致体验下降。