Alertcatalogus¶
Waarop het platform alert, per severity en per resourcegebied. Gebruik het om te weten wat je in het alertkanaal kunt verwachten en om te bepalen voor welke alerts je een runbook nodig hebt.
Naslag, geen bron van waarheid
Deze catalogus is samengevat uit de alertingdocumentatie van het platform. Severities en drempelwaarden zijn
standaardwaarden van de alertdefinities en kunnen per versie veranderen. De definities in de coderepository
(infra/deploy/foundation/policies/policy_definitions/alerts/) en het policy-compliance-overzicht in de Azure portal zijn
leidend. Hoe de alerts worden gedeployd, staat in Hoe alerting werkt.
Het alertontwerp volgt de Azure Monitor Baseline Alerts (AMBA). Het platform voegt activity log alerts toe voor wijzigingen aan beveiligingsrelevante resources.
Per severity (hub)¶
De hub-subscriptions (management, connectivity, identity). Severities 0 tot en met 2 gaan naar de action group, severities 3 en 4 worden alleen gelogd (Severity).
Severity 0: kritiek¶
Directe reactie. Controleer je service level voor de reactietijd.
| Alert | Resource | Voorwaarde |
|---|---|---|
| Firewall health | Azure Firewall | Health onder 90% |
| VPN gateway average bandwidth | VPN gateway | Bandbreedte onder 1 (connectiviteitsprobleem) |
Severity 1: fout¶
Hoge prioriteit. Aanzienlijke degradatie.
| Alert | Resource | Voorwaarde |
|---|---|---|
| Storage account availability | Storage account | Beschikbaarheid onder 90% |
| Public IP under DDoS attack | Public IP | Aanval gedetecteerd |
| Public IP address VIP availability | Public IP | VIP-beschikbaarheid onder 1 |
| Virtual network under DDoS attack | Virtual network | Aanval gedetecteerd |
| ExpressRoute CPU utilisation | ExpressRoute gateway | CPU boven 80% |
| SNAT port utilisation | Azure Firewall | SNAT-poorten boven 80%, risico op uitgeputte verbindingen |
Severity 2: waarschuwing¶
Drempelwaarden voor capaciteit en prestaties.
| Alert | Resource | Voorwaarde |
|---|---|---|
| Automation account total jobs | Automation account | Meer dan 20 jobs |
| Private link utilisation | Private Link (capaciteit van private DNS zone) | Capaciteit op of boven 80% |
| Private link record set | Private Link (record sets van private DNS zone) | Record sets op of boven 80% |
Severity 3: informatief¶
Gelogd voor bewustzijn en troubleshooting. Geen notificatie.
| Alert | Resource | Voorwaarde |
|---|---|---|
| BGP peer status | Network gateway | Status onder 1 |
| VPN gateway tunnel egress and ingress | VPN gateway | Dynamische drempel overschreden |
| VPN gateway tunnel egress and ingress mismatch | VPN gateway | Mismatch in timestamp gedetecteerd |
Severity 4: verbose (audit)¶
Administratieve en beveiligingsgebeurtenissen, gelogd voor audit trails. Geen notificatie.
| Groep | Alerts |
|---|---|
| Aanmaken of bijwerken | Network security group, network security group-regel, policy, policy assignment, firewallregel, security solution |
| Verwijderen | Policy assignment, network security group, network security group-regel, Log Analytics workspace, VPN gateway |
| Operationeel | Opnieuw genereren van een sleutel van een Log Analytics workspace, mislukte installatie van een virtual machine-patch, bijwerken van een route table (UDR) |
| Health | Resource health unhealthy; Service Health advisory, incident, geplande maintenance en security advisory |
Per initiative¶
De vijf alert initiatives en de resourcegebieden die ze dekken. Binnen één gebied zijn er meerdere alerts, meestal één per metric.
| Initiative | Scope (management group) | Dekt |
|---|---|---|
Alerting-ServiceHealth |
Platform root | Azure Service Health-gebeurtenissen: incident, advisory, geplande maintenance, security advisory |
Alerting-Connectivity |
Platform connectivity | ExpressRoute circuits (BGP- en ARP-beschikbaarheid, QoS-drops, bits in en uit), Azure Firewall (health, SNAT-poortgebruik), VPN gateways en virtual network gateways (BGP peer status, bandbreedte, tunnel ingress en egress, packet drops, CPU), private DNS zones (capaciteit, querybelasting, record sets), DDoS en beschikbaarheid van public IP en virtual network. Activity log alerts voor het verwijderen van firewall, network security group en VPN gateway, en voor updates van route tables |
Alerting-Management |
Platform management | Jobs van automation accounts, backup health van Recovery Services vaults, beschikbaarheid van storage accounts, verwijderen en opnieuw genereren van sleutels van Log Analytics workspaces |
Alerting-Identity |
Platform identity | Beschikbaarheid, capaciteit, latency, requests en verwijderen van Key Vault |
Alerting-LandingZone |
Landing zones | De alerts voor de workload-subscriptions onder de management groups van de landing zones. Bevat alertdefinities voor virtual machines (zie Monitoringregels). Gerouteerd via de processing rule in elke subscription |
Welke initiatives worden toegewezen, wordt per platform ingesteld met alerting_management_groups
(Monitoringregels).
Eerdere custom alerts¶
Oudere documentatie noemt naast de baseline alerts drie groepen custom alerts, met deze severities. Ze staan hier omdat ze nog kunnen voorkomen op platformen die in stappen zijn geüpgraded:
| Groep | Voorbeelden |
|---|---|
| Security | Aanmaken of bijwerken en verwijderen van policy assignments, security groups, security rules en security solutions (severity 1 en 2) |
| Virtual machines | Beschikbaarheid (severity 0), CPU- en geheugengebruik (1), disk read- en write-bytes en -operaties, network in en out (2) |
| Application Gateway | Beschikbaarheid (0), capaciteit, CPU-gebruik, health en throughput (1) |
Controleer de alertdefinities van jouw versie om te zien welke hiervan bestaan.
Wat je met een alert doet¶
| Severity | Gebruikelijke afhandeling |
|---|---|
| 0, 1 | Start het incidentproces. Heb een runbook voor elke kritieke alert |
| 2 | Plan het werk. Herhaalt het zich, los dan de oorzaak op of stel de drempel bij |
| 3, 4 | Lees ze in de wekelijkse review en in de maandelijkse healthcheck. Gebruik ze om uit te leggen wat er is gebeurd |
Demp een alert niet omdat hij veel afgaat. Zoek uit of de drempel verkeerd staat, de resource niet gezond is of de alert in een lagere severity thuishoort, en wijzig hem via Monitoringregels of de alertdefinitie in de code.