Seminar USU IT Event Management, Alerting und Korrelation

Das Seminar führt von Rohereignissen über Filter, Normalisierung, Anreicherung und Korrelation bis zu Alarmierung, Eskalation und Ticketübergabe. Ereignisflut, Duplikate, Wartungsfenster, Unterdrückung, Serviceauswirkung und Nachvollziehbarkeit werden an einer mehrstufigen Störungslage bearbeitet.

Die Inhalte werden in einer durchgängigen Laborumgebung erarbeitet. Jede Konfiguration wird mit definierten Prüfpunkten, Rollen, Testdaten und einem dokumentierten Rückfallweg abgesichert.

Inhaltsübersicht

• Einordnung und Zielbild
• Zielgruppe und Voraussetzungen
• Lernziele
• Schritt 1: Ereignisquellen und Eventmodell erfassen
• Schritt 2: Events filtern, normalisieren und anreichern
• Schritt 3: Duplikate und Ereignisfolgen korrelieren
• Schritt 4: Priorisierung und Wartungslogik festlegen
• Schritt 5: Alarmierung und Eskalationswege konfigurieren
• Schritt 6: Ticketintegration und Qualitätskontrolle betreiben
• Praxisaufgaben und Qualitätskontrollen
• Seminarorganisation

Einordnung und Zielbild

Event Management reduziert nicht die Zahl technischer Signale, sondern macht daraus handlungsfähige Informationen. Dafür müssen Ereignisqualität, Korrelationsregeln, Servicekontext und Alarmverantwortung gemeinsam gestaltet werden.

Zielgruppe und Voraussetzungen

Zielgruppe: Monitoring-Administratoren, Event Manager, NOC- und Betriebsmitarbeitende, Bereitschaftsverantwortliche, SRE und ITSM-Integrationsverantwortliche.

Voraussetzungen: Grundkenntnisse in IT Monitoring und Betriebsprozessen; Kenntnisse von Incident Management sind vorteilhaft.

Lernziele

• Quellen, Formate, Schweregrade, Zeitstempel und eindeutige Schlüssel dokumentieren.
• Irrelevante Meldungen möglichst früh und nachvollziehbar ausfiltern.
• Gleichartige Events zeitlich und objektbezogen zusammenfassen.
• Technischen Schweregrad mit Serviceauswirkung und Geschäftszeit kombinieren.
• Empfänger, Kanäle, Bereitschaft, Quittierung und Wiederholung festlegen.
• Aus relevanten Events vollständige Incidents mit Kontext erzeugen.

Seminarinhalte

Schritt 1: Ereignisquellen und Eventmodell erfassen

Der Arbeitsschritt „Ereignisquellen und Eventmodell erfassen“ wird vom fachlichen Zweck über die technische Umsetzung bis zur kontrollierten Abnahme bearbeitet. Abhängigkeiten, Zuständigkeiten und betriebliche Auswirkungen werden dabei ausdrücklich dokumentiert.

• Quellen, Formate, Schweregrade, Zeitstempel und eindeutige Schlüssel dokumentieren.
• technische Events, Zustandsänderungen, Messwertalarme und Informationsmeldungen unterscheiden.
• Datenqualität und Zeitabgleich mit repräsentativen Ereignissen prüfen.

Kontrolle: Konfiguration, Berechtigungen, Datenqualität, Protokollierung und Wiederholbarkeit werden anhand eines festgelegten Sollzustands geprüft.

Schritt 2: Events filtern, normalisieren und anreichern

Der Arbeitsschritt „Events filtern, normalisieren und anreichern“ wird vom fachlichen Zweck über die technische Umsetzung bis zur kontrollierten Abnahme bearbeitet. Abhängigkeiten, Zuständigkeiten und betriebliche Auswirkungen werden dabei ausdrücklich dokumentiert.

• irrelevante Meldungen möglichst früh und nachvollziehbar ausfiltern.
• unterschiedliche Schweregrade, Statuswerte und Objektbezeichner vereinheitlichen.
• Service, Standort, Eigentümer, CI und Bereitschaftskontext ergänzen.

Kontrolle: Konfiguration, Berechtigungen, Datenqualität, Protokollierung und Wiederholbarkeit werden anhand eines festgelegten Sollzustands geprüft.

Schritt 3: Duplikate und Ereignisfolgen korrelieren

Der Arbeitsschritt „Duplikate und Ereignisfolgen korrelieren“ wird vom fachlichen Zweck über die technische Umsetzung bis zur kontrollierten Abnahme bearbeitet. Abhängigkeiten, Zuständigkeiten und betriebliche Auswirkungen werden dabei ausdrücklich dokumentiert.

• gleichartige Events zeitlich und objektbezogen zusammenfassen.
• Ursache-Folge-Beziehungen und Topologie für Korrelation nutzen.
• Regeln mit echten Störungen, Wiederholungen und unvollständigen Ereignisfolgen testen.

Kontrolle: Konfiguration, Berechtigungen, Datenqualität, Protokollierung und Wiederholbarkeit werden anhand eines festgelegten Sollzustands geprüft.

Schritt 4: Priorisierung und Wartungslogik festlegen

Der Arbeitsschritt „Priorisierung und Wartungslogik festlegen“ wird vom fachlichen Zweck über die technische Umsetzung bis zur kontrollierten Abnahme bearbeitet. Abhängigkeiten, Zuständigkeiten und betriebliche Auswirkungen werden dabei ausdrücklich dokumentiert.

• technischen Schweregrad mit Serviceauswirkung und Geschäftszeit kombinieren.
• Wartungsfenster, geplante Arbeiten und bekannte Ausnahmen korrekt berücksichtigen.
• Unterdrückung befristen und durch Protokollierung nachvollziehbar halten.

Kontrolle: Konfiguration, Berechtigungen, Datenqualität, Protokollierung und Wiederholbarkeit werden anhand eines festgelegten Sollzustands geprüft.

Schritt 5: Alarmierung und Eskalationswege konfigurieren

Der Arbeitsschritt „Alarmierung und Eskalationswege konfigurieren“ wird vom fachlichen Zweck über die technische Umsetzung bis zur kontrollierten Abnahme bearbeitet. Abhängigkeiten, Zuständigkeiten und betriebliche Auswirkungen werden dabei ausdrücklich dokumentiert.

• Empfänger, Kanäle, Bereitschaft, Quittierung und Wiederholung festlegen.
• Eskalation nach Zeit, Kritikalität und fehlender Reaktion steuern.
• positive Zustellung, Nichtzustellung und Rückmeldung der Bearbeitung prüfen.

Kontrolle: Konfiguration, Berechtigungen, Datenqualität, Protokollierung und Wiederholbarkeit werden anhand eines festgelegten Sollzustands geprüft.

Schritt 6: Ticketintegration und Qualitätskontrolle betreiben

Der Arbeitsschritt „Ticketintegration und Qualitätskontrolle betreiben“ wird vom fachlichen Zweck über die technische Umsetzung bis zur kontrollierten Abnahme bearbeitet. Abhängigkeiten, Zuständigkeiten und betriebliche Auswirkungen werden dabei ausdrücklich dokumentiert.

• aus relevanten Events vollständige Incidents mit Kontext erzeugen.
• Statusrückmeldungen und Schließlogik zwischen Monitoring und ITSM abstimmen.
• Alarmvolumen, Korrelationstreffer, Reaktionszeit und Fehlalarme regelmäßig auswerten.

Kontrolle: Konfiguration, Berechtigungen, Datenqualität, Protokollierung und Wiederholbarkeit werden anhand eines festgelegten Sollzustands geprüft.

Praxisaufgaben und Qualitätskontrollen

1. Übung 1: Ereignisquellen und Eventmodell erfassen in der Laborumgebung konfigurieren, mit einem positiven und einem negativen Test prüfen und den Sollzustand dokumentieren. Erwartetes Ergebnis: Datenqualität und Zeitabgleich mit repräsentativen Ereignissen prüfen.
2. Übung 2: Events filtern, normalisieren und anreichern in der Laborumgebung konfigurieren, mit einem positiven und einem negativen Test prüfen und den Sollzustand dokumentieren. Erwartetes Ergebnis: Service, Standort, Eigentümer, CI und Bereitschaftskontext ergänzen.
3. Übung 3: Duplikate und Ereignisfolgen korrelieren in der Laborumgebung konfigurieren, mit einem positiven und einem negativen Test prüfen und den Sollzustand dokumentieren. Erwartetes Ergebnis: Regeln mit echten Störungen, Wiederholungen und unvollständigen Ereignisfolgen testen.
4. Übung 4: Priorisierung und Wartungslogik festlegen in der Laborumgebung konfigurieren, mit einem positiven und einem negativen Test prüfen und den Sollzustand dokumentieren. Erwartetes Ergebnis: Unterdrückung befristen und durch Protokollierung nachvollziehbar halten.

Zum Abschluss der Übungen werden offene Punkte in einer Prüfmatrix erfasst. Abweichungen werden nach Auswirkung, Dringlichkeit, Verantwortlichkeit und nächstem technischen Schritt geordnet.

Seminarorganisation

Das Seminar ist für 2 Tage mit etwa sechs Unterrichtsstunden pro Tag ausgelegt. Theorie, Demonstration, geführte Konfiguration und eigenständige Übungen wechseln sich ab. Für Intensiv- und Kompaktformate werden Themen bewusst verdichtet; Detailvertiefungen erfolgen anhand der priorisierten Laborfälle.