passive monitoring

Пассивный мониторинг в ITSM означает подход, при котором текущий статус конфигурационной единицы, ИТ-услуги или процесса становится известен только тогда, когда от наблюдаемого объекта поступает сигнал: предупреждение, уведомление, trap, сообщение в журнале, событие от агента или встроенный алерт. В отличие от активного мониторинга, здесь не выполняется регулярная проверка «по запросу» со стороны системы мониторинга; инициатором обнаружения отклонения выступает сам компонент или программный агент. На практике пассивный мониторинг широко применяется там, где активные проверки дорогие, нежелательны или технически невозможны: в изолированных сегментах, при ограничениях на сетевые опросы, в промышленных средах, а также для контроля прикладных компонентов, которые умеют сами публиковать события. Он особенно полезен для раннего обнаружения деградации и автоматизации реакции команд поддержки через управление мониторингом и событиями и последующее управление инцидентами. Вне области применения пассивного мониторинга находятся задачи, требующие измерения доступности и производительности с внешней точки зрения пользователя, а также выявление «тихих отказов», когда компонент не генерирует уведомлений; такие случаи обычно требуют активного мониторинга или комбинированного подхода.

Ключевая ловушка пассивного мониторинга состоит в предположении, что «если нет уведомлений, значит всё хорошо». На практике отсутствие событий может означать сбой механизма уведомлений, потерю связи, остановку агента, переполнение очереди сообщений или неправильную конфигурацию порогов. Поэтому пассивный мониторинг часто дополняют активными проверками жизнеспособности канала оповещений и самих агентов, иначе организация получает ложное чувство контроля. Пассивный мониторинг также нередко путают с «реактивной» работой команды поддержки: пассивность относится только к способу обнаружения текущего статуса, а реакция может быть полностью проактивной за счёт автоматизации обработки событий и заранее подготовленных обходных решений. Ещё одно распространённое недоразумение — отождествление любого уведомления с инцидентом. Событие или алерт могут отражать нормальное состояние, тест, изменение порога или кратковременную аномалию; превращение этого в инцидент зависит от правил корреляции, влияния на ИТ-услугу и договорённостей об уровне услуги. Наконец, при пассивном мониторинге важно учитывать «шум»: чрезмерное количество уведомлений ухудшает эффективность, приводит к игнорированию алертов и снижает результативность управления мониторингом и событиями.