Nega SOC o’n ming alertni o’qiy olmaydi

Kuniga o’n ming alert keladigan markazda odatda ikkita xulosa chiqariladi: odam yetishmayapti yoki avtomatlashtirish kerak. Ikkalasi ham to’g’ri emas.

Haqiqiy savol boshqacha: bu o’n mingtaning nechtasi haqiqiy hodisa? Agar javob o’ntadan biri bo’lsa, siz odam qo’shib muammoni hal qilmaysiz — shunchaki ko’proq odamni shovqin o’qishga qo’yasiz.

Aniqlik — bu qoidaning xususiyati, tahlilchining emas. Va u o’lchanmasa, hech qachon yaxshilanmaydi.

Aniqlashda ikkita xato bor. Yolg’on ijobiy — hujum bo’lmagan joyda alert chiqdi. Yolg’on salbiy — hujum bo’ldi, lekin alert chiqmadi.

Ular teng emas. Yolg’on salbiy qimmatroq, lekin ko’rinmaydi. Yolg’on ijobiy arzon, lekin har kuni ko’rinadi va aynan shuning uchun jarayonni buzadi.

Yolg’on ijobiylarning haqiqiy narxi ham boshqa joyda: ular tahlilchining ishonchini yeydi. Yuz marta bo’sh chiqqan qoida yuz birinchi marta haqiqiy ishga tushganda ham e’tiborsiz qoldiriladi.

Amaliy qoida: har bir aniqlash qoidasi mahsulot sifatida boshqariladi. Uning muallifi bor, versiyasi bor, va ikkita raqami bor — necha marta ishga tushdi va nechtasi haqiqiy chiqdi.

Ikkinchi raqamni yig’ish uchun tahlilchi har alertni yopishda bir tugmani bosishi kerak: haqiqiy yoki yolg’on. Bu bitta amal butun jarayonning asosini beradi.

Oyning oxirida ro’yxat tuziladi: qaysi qoidalar shovqinning katta qismini beryapti. Odatda o’ntacha qoida barcha yolg’on ijobiylarning yarmidan ko’pini keltiradi.

Eng oson yechim — qoidani o’chirish, va u ko’pincha noto’g’ri. To’g’ri yo’l — qoidani toraytirish: qaysi tizimda, qaysi vaqtda, qaysi hisob uchun u haqiqatan ma’noga ega?

Ikkinchi usul — birlashtirish. Bitta hujum o’nlab alert keltirsa, ular bitta hodisaga yig’ilishi kerak. Tahlilchi o’n marta bir xil narsani o’qimaydi.

Uchinchisi — bosqichlash. Kuchsiz signal alert emas, kontekst. U o’zi hech qayerga chiqmaydi, lekin boshqa signal bilan birga kelganda ikkalasi birgalikda alert hosil qiladi.

Aniqlash qoidalarini ko’paytirish oson va u yaxshi ko’rinadi: hisobotda «bizda 1200 ta qoida bor» degan raqam chiroyli.

Lekin qoida ishlab turishi uchun uni kimdir qo’llab-quvvatlashi kerak: manba formati o’zgarsa tuzatish, yangi tizim qo’shilsa kengaytirish, shovqin o’sganda toraytirish.

Shuning uchun to’g’ri maqsad — kamroq qoida, lekin har biri o’lchangan va egasi bor. Qo’llab-quvvatlanmaydigan qoida ishonchni yo’qotadi va oxir-oqibat o’chiriladi — faqat yomon paytda.

Ikki asosiy ko’rsatkich bor: hodisa boshlanganidan aniqlangunga qadar o’tgan vaqt va aniqlangandan chora ko’rilgunga qadar o’tgan vaqt.

Birinchisi aniqlash sifatini, ikkinchisi jarayon sifatini o’lchaydi. Ular alohida yaxshilanadi va ularni bitta raqamga qo’shish ma’nosiz.

Uchinchi ko’rsatkich kamroq uchraydi, lekin foydali: alert navbatda qancha kutadi. U o’sib borsa, hajm jamoaning quvvatidan oshgan — va bu qoidalarni qayta ko’rish vaqti kelganini bildiradi.

Avtomatlashtirish shovqinni kamaytirmaydi. U tekshiruvni tezlashtiradi: manzil haqidagi ma’lumotni yig’ish, hisobning oxirgi kirishlarini ko’rsatish, faylning hisobini tashqi bazadan so’rash.

Bular tahlilchining qo’lda qiladigan ishining katta qismi. Ularni avtomatlashtirish bir alertga ketadigan vaqtni bir necha barobar qisqartiradi.

Lekin agar qoidaning aniqligi o’ntadan bir bo’lsa, avtomatlashtirish sizga faqat tezroq shovqin beradi. Tartib shunday: avval aniqlik, keyin tezlik.

Birinchi qadam — o’lchashni yo’lga qo’yish. Har alert yopilganda «haqiqiy yoki yolg’on» belgisi qo’yilsin. Bu ikki hafta ichida sizga birinchi haqiqiy ro’yxatni beradi.

Ikkinchi qadam — eng shovqinli o’nta qoidani olish va har biri uchun bitta qaror qabul qilish: toraytirish, birlashtirish, bosqichlash yoki o’chirish.

Uchinchi qadam — chegara qo’yish: bir tahlilchiga bir smenada nechta alert to’g’ri kelishi maqbul. Bizning amaliyotimizda yigirmagacha alert o’qib chiqiladi, yuztadan oshgani esa o’qilmaydi — faqat yopiladi.