1 21. mars 2006 TDT4285 Planl&drift IT-syst Forelesning nr 24: Logging TDT4285 Planlegging og drift av IT-systemer Våren 2006 Anders Christensen, IDI

2 21. mars 2006 TDT4285 Planl&drift IT-syst Definisjon Logging er å lagre korte, informative data kronologisk på et standardisert format om hendelser (eller tilstander) på en datamaskin.

3 21. mars 2006 TDT4285 Planl&drift IT-syst Monitorering og management Logging er nødvendig for godt management •Uten: Feilsøke og fikse etter at problemet er oppstått og symptomene er erfart •Med: Være i stand til å fikse det før eller når hendelsen skaper problemer, eller til og med før hendelsen inntreffer.

4 21. mars 2006 TDT4285 Planl&drift IT-syst Logging, monitorering og statistikk Hendelser Logg Monitorering Varsling Statistikk Aggregeres til Trigger Genererer Tolkes/filteres Nåtilstand Vedlike- holder Real-time Batch Analyse Bruk

5 21. mars 2006 TDT4285 Planl&drift IT-syst Metoder for å logge Polling – gjentatte ganger (regelmessig) hente inn data. –Kvalitativt: teste funksjonalitet –Kvantitativt: måle ytelse Hendelse – at loggingen foregår som en konsekvens av en hendelse.

6 21. mars 2006 TDT4285 Planl&drift IT-syst Bruksverdi av logging Bruksdata Hendelser Tilstand Visualisere Gjenskape Varsling Automatisk reparasjon Fakturering Statistikk Trender Feilsøking Dokumentere SLA-mål Overvåke Sikkerhet

7 21. mars 2006 TDT4285 Planl&drift IT-syst Post mortem-analyse ”Vi vet at systemet krasjet klokken 14:06:35, men hva skjedde i minuttene og sekundene før dette?” •Andre subsystemer? •Andre maskiner? •Like før? •Hva ville være normalt? •Hva var feilmeldingen? •Når skjedde det? •Rekkefølge i feilene?

8 21. mars 2006 TDT4285 Planl&drift IT-syst Autodetektering og -reparasjon 1.Feil logges 2.Filter overvåker loggene 3.Når feil finnes, kan automatisk reparasjon (eller varsling) startes Komponent Logg Logging Filter Reparasjon

9 21. mars 2006 TDT4285 Planl&drift IT-syst Prediktering Utfra kunnskap om tidligere mønstre, kan man forutsi hva som vil skje når disse mønstrene er i ferd med å gjenta seg. Komponent Logg Indikasjoner Filter Prediksjon

mars 2006 TDT4285 Planl&drift IT-syst Analyse Tradisjonell: filterprogrammering – sysadmin preparerer filtre for å fange opp forhåndsdefinerte situasjoner. Utradisjonell: maskinell analyse – datamaskinen analyserer selv sine logger og ekstraherer informasjon basert på generelle regler.

mars 2006 TDT4285 Planl&drift IT-syst ”Information overflow” Volum og variasjon i loggene hindrer oversikt og gjør det umulig manuelt å se mønstre i hva som er loggført. Mange maskiner Mange programmer Endrings- rate Volum Variasjon + +

mars 2006 TDT4285 Planl&drift IT-syst Filtrering Filtrering av loggdata kan: •Finne bestemte data •Sammefatte •Fjerne det irrelevante og lage en ”rest”-liste Krever: •Programmering! Logg Filter Rest Sammen drag Treff

mars 2006 TDT4285 Planl&drift IT-syst Ønskeliste for filtrering 1.Se subsystemer i sammenheng 2.Ignorere følgefeil av initiell feil 3.Detektere mønstre utfra historikk 4.Forutsi videre utvikling 5.Være selvkonfigurerende 6.Ikke trenge manuell oppdatering 7.Prioritere meldinger

mars 2006 TDT4285 Planl&drift IT-syst Hvem varsler? Tre fremgangsmåter: 1.Feilende komponent varsler 2.Uavhengig, monitorerende system varsler 3.Kombinsjon av 1 og 2 Alltid: bør ha mer enn en varsling på kritiske komponenter.

mars 2006 TDT4285 Planl&drift IT-syst Elementer ifm logging Personvern Plassbruk Kondensering Rotasjon Backup anonymisering gjenbruk fjernlager mindre antall kopier Sirkulære logger

mars 2006 TDT4285 Planl&drift IT-syst Momenter ifm monitorering •Varsel til hvem •Hvor mange varsles •Varsling parallelt eller serielt •Koordinering mellom dem som får varsel •Eskaleringsregler og repetisjonsfrekvens •Kvittering på varsel •Er varslets innhold forstålig •Oppdatering ved endring av tilstand

mars 2006 TDT4285 Planl&drift IT-syst Fallgruver •Synkronisering av klokkene! •Tidssoner og sommertid •Ikke stol på dem: de kan slettes og endre av en innbryter •syslog bruker UDP, og kan miste data •Diskene fylles, eller... •sirkulære logger overskrives

mars 2006 TDT4285 Planl&drift IT-syst Spilleautomater og kortlåser (case) •Er geografisk spredd •Skal slutte å virke hvis de blir stjålet •Må ikke virke dersom de ble illegalt tømt •Må si ifra hvis de må tømmes •Må ikke tillate den som tømmer å stjele •Mulig defekte tastaturer •Dårlig/skitten kortleser •Treg mekanikk i dørene gjør at de ikke går igjen •Bør kunne detektere at kort er blitt duplisert •Hvis minne på kortleser er fullt, kan ramler noen brukere ut.