Application Real-Time Monitoring Service:ARMS の収束ポリシー

Spring アノテーションベースの収束

パス変数を持つ RESTful API の場合、生のリクエスト URL をディメンション値として使用すると拡散が発生します。ARMS は、Spring のルーティングアノテーション (@RequestMapping など) からパス情報を読み取り、代わりにアノテーションで定義されたパスをディメンション値として使用します。

例

次の APIController は、パス変数を使用してユーザー情報を取得する RESTful エンドポイントを定義します。@RequestMapping("/api/v1/user/{userId}/info") アノテーションは URL パターンを指定します。

@RestController
@RequestMapping("/api/v1")
public class APIController {

    @RequestMapping("/user/{userId}/info")
    public String getUserInfo(@PathVariable("userId") String userId) {
        return "hello " + userId;
    }
}

結果：/api/v1/user/1234/info は /api/v1/user/{userId}/info に収束されます。

メモリ統計ベースの収束

Spring Web フレームワークを使用しないアプリケーションや、アノテーションベースの収束が失敗した場合、ARMS はメモリ統計ベースの収束にフォールバックします。

例

アプリケーションが URL テンプレート /api/v1/user/${userId}/info を提供します。メモリ統計モジュールはユーザー ID の拡散を検出し、URL を /api/v1/user/*/info に収束させます。

カスタム収束

カスタム収束ルールを定義して、URL を正規表現と照合し、指定されたターゲットに置き換えます。

例

カスタムルール：/api/v1/user/[\d]+/info に一致するすべての URL を /api/v1/getUserInfo に収束させます。

結果：正規表現 /api/v1/user/[\d]+/info に一致するすべての URL は /api/v1/getUserInfo に収束されます。

静的リソースの収束

一部の古いバージョンの ARMS エージェントは、静的リソースのメトリックを監視します。静的リソースの URL は頻繁に変更されるため、これらのメトリックではデフォルトで収束が有効になっています。

デフォルトの静的リソース拡張子：

.log .7z .tgz .jpg .jpeg .png .gif .css .js .ico .woff2 .xml .svg .pdf .txt .text .ppt .word .xlsx .tar.gz .tar.bz2 .sh .yml .yaml .zip .gz .ttf .woff .eot .rar .properties

例

デフォルトでは、/api/v1/hello.jpg は {ARMS_STATIC_REQ} に収束されます。詳細設定を有効にすると、{ARMS_S_JPG} に収束されます。

サイバー攻撃リクエストの収束

サービスはサイバー攻撃リクエスト (例えば、/etc/passwd ファイルの読み取り試行など) を受信することがあります。これらのリクエストは攻撃者によって作成され、頻繁に変更されます。これらすべてを記録すると、ストレージリソースに負荷がかかります。

デフォルトの文字：' $ \ ' !

例

/app/v1/user/info?cmd='more /etc/passwd' は {ARMS_ATTACK_REQ} に収束されます。

クエリパラメーターの収束

デフォルトでは、ARMS エージェントは URL を収集する際にクエリパラメーターをキャプチャしません。ただし、一部の URL には拡散を引き起こす可能性のあるクエリパラメーターが含まれています。

デフォルトのクエリパラメーターデリミタ：; ? &

例

デフォルトでは、/api/v1/user/info?userId=12345 は {ARMS_PARAMED_REQ} に収束されます。詳細設定を有効にすると、/api/v1/user/info?{ARMS_REQ_PARAMS} に収束されます。

無意味な単語の収束

長すぎる単語や数字の文字列を持つ URL は、拡散する可能性が高くなります。ARMS は、指定された長さのしきい値を超えるパスセグメントを置き換えます。

例

/api/2024040710/hello2024040710 は /api/{ARMS_NUMBER}/{ARMS_ANY} に収束されます。

インテリジェント収束

上記のポリシーが適用された後も、一部の拡散した URL が残る場合があります。ARMS は、アルゴリズムを使用して定期的に収束ルールを生成し、これらの URL を処理します。

例

/api/product/1/info
/api/product/2/info
....
/api/product/N/info

サーバーは、正規表現 /api/product/[\d]+/info を使用してこれらの URL を照合し、/api/product/{ARMS_NUMBER}/info に収束させます。

SQL の正規化

ARMS エージェントは、シャーディング、アノテーション、またはインラインリテラルが原因で、多数の SQL ステートメントを収集する場合があります。ARMS は、拡散した値を置き換えることで各 SQL ステートメントを正規化します。

例

select * from cache_0 where ckey='23'

結果：

select * from cache_{NUM} where ckey=?

IP アドレスの収束

アプリケーションが IP アドレスを介してアクセスされる多くの外部サービスに依存している場合、ARMS エージェントは多数の一意の IP アドレスを収集し、拡散を引き起こす可能性があります。

例

1.1.1.1:8080
...
1.1.1.255:8080

これらの IP アドレスは {ARMS_IP}:8080 に収束されます。

カーディナリティスペースの収束

上記のポリシーは、URL におけるほとんどの高カーディナリティの問題を解決します。ただし、SQL ステートメントやその他のデータの型では、依然として多数のディメンション値が記録される可能性があります。これを防ぐため、ARMS は各期間内に記録されるディメンション値の数を制限します。

時間ごとのデフォルトしきい値

例

カーディナリティスペースのサイズが 1 時間あたり 100 レコードに設定されているとします。外部サービスアドレス：

www.a1.com
www.a2.com
....
www.a1000.com

1 時間あたり最初の 100 アドレスのみが記録されます。それ以降のアドレスは {ARMS_OTHERS} に収束されます。

ARMS エージェント V4.x 未満

エージェント側：

• URL： Spring アノテーションベースの収束 > メモリ統計ベースの収束

• SQL： メモリ統計ベースの収束

• IP およびその他： メモリ統計ベースの収束

サーバー側：

• URL： カスタム収束 > サイバー攻撃リクエストの収束 > クエリパラメーターの収束 > 静的リソースの収束 > 無意味な単語の収束 > インテリジェント収束 > カーディナリティスペースの収束

• SQL： カスタム収束 > カーディナリティスペースの収束

• IP およびその他： カスタム収束 > IP アドレスの収束 > カーディナリティスペースの収束

ARMS エージェント V4.x 以降

エージェント側：

• URL： Spring アノテーションベースの収束 > カスタム収束 > サイバー攻撃リクエストの収束 > クエリパラメーターの収束 > 静的リソースの収束 > 無意味な単語の収束 > インテリジェント収束 > カーディナリティスペースの収束

• SQL： カスタム収束 > SQL の正規化 > カーディナリティスペースの収束

• IP およびその他： カスタム収束 > IP アドレスの収束 > カーディナリティスペースの収束

サーバー側： N/A (すべての収束はエージェントで実行されます)。

収束前の元の値を確認する方法

• ARMS エージェント V4.x 以降： 元の値と収束後の値の両方がトレースデータに記録されます。元の値を確認するには、Trace Explorer を使用してください。

• ARMS エージェント V4.x 未満： 収束はサーバー側で行われるため、元の値は利用できません。

カスタム収束ルールの設定方法

ARMS コンソールでカスタム収束ルールを定義します。アプリケーション詳細ページで、上部のナビゲーションバーから [設定] > [収束] を選択します。

たとえば、正規表現 /api/v1/user/\d+/info を指定して、一致するすべての URL を /api/v1/user/userId/info に収束させます。これにより、URL /api/v1/user/124343543/info は /api/v1/user/userId/info に収束されます。

特定の URL を収束から除外する方法

ARMS コンソールで、収束から除外する URL を指定します。前の質問で説明したのと同じ [設定] > [収束] ページに移動します。

たとえば、/api/v1/user/9999/info を収束から除外した場合、この URL は /api/v1/user/userId/info には収束されません。

エージェント側の収束とサーバー側の収束の違い

エージェント側の収束は、データをサーバーにレポートする前に ARMS エージェント上でデータを処理します。これにより、サーバーの処理負荷が軽減され、100% のデータ精度が提供されます。

サーバー側の収束は、エージェントのバージョンが特定のポリシーをサポートしていない場合に適用されます。エージェント側の収束がない場合、エージェントは未収束のデータパケットをサーバーに送信します。大きなパケットは、次の 2 つのリスクを生じさせます：

• データ損失： 過度に大きなパケットは拒否される可能性があります。

• 精度の低下： サーバー側の処理制限により、収束データの精度が影響を受ける可能性があります。

最新バージョンの ARMS エージェントにアップグレードして、すべての収束ポリシーをエージェント上で実行してください。