Sei già un cliente NinjaOne? Effettua il login per visualizzare le altre guide e gli ultimi aggiornamenti.

Endpoint Monitoring and Alerting Playbook

Argomento

Questa guida fornisce consigli per la definizione della vostra strategia di monitoraggio e di avvisi per gli endpoint, oltre a istruzioni dettagliate per la creazione di oltre 30 condizioni personalizzate di monitoraggio degli endpoint in NinjaOne.

Questo articolo è una copia della guida alle migliori pratiche di NinjaOne disponibile nel nostroCentro risorse NinjaOne. I dati possono essere scaricati in formato PDF in fondo a questa pagina. 

Ambiente

Piattaforma NinjaOne

Indice

Avvisi relativi ai dispositivi nella Dashboard del sistema

Accedi ai dati relativi agli avvisi nella Dashboard di sistema, nella scheda " Dispositivi ". 

system dashboard_devices_alerts.png
Figura 1: Accesso agli avvisi nella Dashboard del sistema

Questa dashboard consente inoltre di filtrare rapidamente queste attività in base alle seguenti opzioni:

ColonnaProprietà
Intervallo di dateScegli un intervallo di date (ultimo giorno, ultima settimana, ultimo mese o ultimi tre mesi) in cui l’avviso è stato inizialmente attivato.
Tipi di dispositivoScegli uno o più tipi di dispositivo specifici in base ai quali filtrare l'elenco.
Condizioni Cerca condizioni specifiche attualmente attivate.
OrganizzazioniScegli una o più organizzazioni specifiche per le quali filtrare l'elenco.
PosizioniCerca una o più posizioni specifiche per filtrare l'elenco (se hai selezionato dei filtri per organizzazione, l'elenco delle posizioni disponibili si aggiornerà per mostrare solo le posizioni appartenenti alle organizzazioni specificate).
DispositiviFiltra l'elenco in base ai dispositivi specificati.
  1. È possibile ordinare ogni colonna. Per impostazione predefinita, nella tabella vengono visualizzate tutte le colonne disponibili; utilizzare l'icona a forma di ingranaggio sotto i menu a tendina dei filtri per gestire la visibilità delle colonne. È possibile aggiornare l'elenco degli avvisi in qualsiasi momento facendo clic su Aggiorna nella parte superiore dell'elenco.
  2. I nomi dei dispositivi, delle organizzazioni e delle posizioni sono collegamenti ipertestuali che consentono di accedere alle dashboard relative a tali dispositivi, organizzazioni o posizioni.
  3. Fare clic sui dati nella colonna "Avviso " per visualizzare i dettagli in una finestra a comparsa. I dettagli dell'avviso contengono anche il nome del dispositivo e la data/ora di creazione dell'avviso.
  4. Selezionare la casella di controllo relativa a uno o più avvisi per visualizzare l’opzione di ripristino. 

Introduzione

Come si presenta un monitoraggio valido?

Il monitoraggio e gli avvisi sono fondamentali per un uso efficace di un RMM. Le buone pratiche di monitoraggio consentono di identificare in modo proattivo i problemi, risolverli più rapidamente e operare in modo più efficace. Un monitoraggio migliore può inoltre svolgere un ruolo chiave nel generare entrate aggiuntive e mantenere i clienti più soddisfatti.

La sfida consiste nel sapere cosa monitorare, cosa richiede un avviso, quali problemi possono essere risolti automaticamente e quali necessitano di un intervento manuale. Acquisire questa conoscenza può richiedere anni e, anche in quel caso, i team migliori possono comunque avere difficoltà a ridurre la “fatica da avvisi” e il “rumore dei ticket” sui dispositivi dei clienti.

Per aiutare chi è alle prime armi a ridurre i tempi di avvio e a focalizzare meglio l’attenzione, abbiamo stilato questo elenco di idee con oltre 25 condizioni da monitorare. Questi consigli si basano sui suggerimenti dei nostri partner e sull’esperienza di NinjaOne nell’aiutare gli MSP a implementare un monitoraggio efficace e orientato all’azione.

Per ciascuna condizione descriviamo cosa viene monitorato, come configurare il monitoraggio in NinjaOne e quali azioni intraprendere se la condizione viene attivata. Alcuni suggerimenti di monitoraggio sono concreti, mentre altri potrebbero richiedere una leggera personalizzazione per adattarli al vostro caso d’uso.

Queste idee di monitoraggio non sono ovviamente esaustive e potrebbero non essere applicabili a ogni situazione o circostanza. Una volta che avrete iniziato a sviluppare il vostro sistema di monitoraggio sulla base di questi suggerimenti, dovrete elaborare una strategia di monitoraggio più personalizzata e solida, specifica per i vostri clienti e le loro esigenze. Concludiamo questa guida con ulteriori raccomandazioni per aiutarvi in questo sforzo e rendere il monitoraggio, gli avvisi e la gestione dei ticket un vantaggio competitivo per il vostro MSP.

Monitoraggio dell'integrità del dispositivo

Monitoraggio continuo degli eventi critici
  • Condizione: Eventi critici
  • Soglia: 80 eventi critici in 5 minuti
  • Azione: Aprire un ticket e indagare
Identifica quando un dispositivo viene riavviato involontariamente
  • Condizione: Evento Windows
  • Origine evento: Microsoft-Windows-Kernel-Power
  • ID evento: 41
  • Nota: questa condizione è più adatta ai server, poiché le workstation e i portatili possono generare questo errore a seguito di un intervento dell'utente
  • Azione: Aprire un ticket e indagare
Identificare i dispositivi che richiedono un riavvio
  • Condizione: Tempo di funzionamento sistema
  • Soglia consigliata: 30 o 60 giorni
  • Azione: riavviare il dispositivo in un intervallo di tempo appropriato. Per le workstation può essere efficace la correzione automatica.
Monitoraggio degli endpoint offline
  • Condizione: Dispositivo non disponibile
  • Soglia consigliata:
    • 10 minuti o meno (Server)
    • 5 giorni o più (Workstation)
  • Azione:
    • Aprire un ticket e indagare
    • Wake-on-LAN (solo server)
Monitoraggio delle modifiche hardware
  • Attività: Sistema
  • Nome: Scheda aggiunta/modificata, CPU aggiunta/rimossa, Unità disco aggiunta/rimossa, memoria aggiunta/rimossa
  • Azione: Aprire un ticket e indagare
Monitoraggio dell’utilizzo elevato e prolungato della CPU
  • Condizione: CPU • Soglie: 90% o superiore per ridurre il rumore, con valori superiori al 95% che si verificano comunemente per un periodo di 15 minuti o più
  • Azione: Aprire un ticket e indagare

Monitoraggio delle unità

Monitoraggio di potenziali guasti del disco
  • Condizione: Stato SMART di Windows degradato
  • Condizione: Evento Windows
  • Tipo di autenticazione: Disco
  • ID evento: 7, 11, 29, 41, 51, 153
  • Azione: Aprire un ticket e indagare
Individuare quando lo spazio su disco sta per esaurirsi
  • Condizione: Spazio disponibile su disco
  • Soglia: 20% e poi di nuovo al 10%
  • Azione: Eseguire la pulizia del disco e eliminare i file temporanei
Monitorare eventuali errori del RAID
  • Condizione: Stato di integrità RAID
  • Soglie: Critico e non critico per tutti gli attributi
  • Azione: Aprire un ticket e indagare
Monitorare un utilizzo elevato e prolungato del disco
  • Condizione: Uso disco
  • Soglie: 90% o superiore per ridurre il rumore, con valori superiori al 95% che si verificano comunemente in periodi di 30 o 60 minuti
  • Azione: Aprire un ticket e indagare
Monitorare un tasso elevato di attività del disco
  • Condizione: Tempo di attività disco
  • Soglie: superiore a 90% per 15 minuti
  • Azione: Aprire un ticket e indagare
Monitoraggio dell'utilizzo elevato della memoria
  • Condizione: Tempo di attività disco
  • Soglie: superiore a 90% per 15 minuti
  • Azione: Aprire un ticket e indagare

Monitoraggio delle applicazioni

Verifica della presenza delle applicazioni richieste su un endpoint
  • Condizione: Software
  • Utilizzo:
    • Applicazioni aziendali del cliente (Esempi: AutoCAD, SAP, Photoshop)
    • Soluzioni per la produttività dei clienti (esempi: Zoom, Microsoft Teams, DropBox, Slack, Office, Acrobat)
    • Strumenti di supporto client (Esempi: TeamViewer, CCleaner, AutoElevate,
    • BleachBit)
  • Azione: installare automaticamente l’applicazione se mancante e necessaria
Verificare se le applicazioni critiche sono in esecuzione (in particolare per i server)
  • Condizione: Processo / Servizio
  • Soglia: non disponibile per almeno 3 minuti
  • Esempi di processi:
    • Per le workstation: TeamViewer, RDP, DLP
    • Per un server Exchange: MSExchangeServiceHost, MSExchangeIMAP4, MSExchangePOP3, ecc.
    • Per un server Active Directory: Netlogon, dnscache, rpcss, ecc.
    • Per un server SQL: mssqlserver, sqlbrowser, sqlwriter, ecc.
  • Azione: riavviare il servizio o il processo
Monitorare l’utilizzo delle risorse per le applicazioni note per causareproblemi di prestazioni nell’
  • Condizione: Risorsa processo
  • Soglia: 90%+ per almeno 5 minuti
  • Esempi di processi: Outlook, Chrome e TeamViewer
  • Azione:
    • Aprire un ticket e indagare
    • Disabilita all'avvio
Monitorare eventuali arresti anomali dell'applicazione
  • Condizione: Evento Windows
  • Tipo di autenticazione: Blocco dell'applicazione
  • ID evento: 1002
  • Azione: Aprire un ticket e indagare

Monitoraggio della rete

Monitoraggio dell'utilizzo imprevisto della larghezza di banda
  • Condizione: Utilizzo rete
  • Direzione: Out
  • Soglia: le soglie saranno determinate dal tipo di endpoint e dalla capacità di rete
    • Ogni server dovrebbe avere una propria soglia in base al proprio caso d'uso
    • Le soglie di monitoraggio della rete delle workstation dovrebbero essere sufficientemente elevate da attivarsi solo quando la rete di un client è a rischio
  • Azione: Aprire un ticket e indagare
Assicurarsi che i dispositivi di rete siano attivi
  • Condizione: dispositivo non disponibile
  • Durata: 3 minuti
Monitorare quali porte sono aperte
  • Condizione: Monitoraggio cloud
  • Porte: 80 (HTTP), 443 (HTTPS), 25 (SMTP), 21 (FTP)
Monitoraggiodella disponibilità del sito web
del cliente
  • Monitoraggio: Ping
  • Destinazione: sito web del cliente
  • Condizione: Errore (5 volte)
  • Azione: Aprire un ticket e indagare

Monitoraggio della sicurezza

Verifica se Windows Firewall è stato disattivato
  • Condizione: Evento Windows
  • Origine evento: Sistema
  • ID evento: 5025
  • Azione: Attivare il Firewall di Windows
Verifica se su un endpoint sono installati e/o in esecuzione strumenti antivirus e di sicurezza
  • Condizione: Software
  • Presenza: Non esiste
  • Software (esempi): Huntress, Cylance, Threatlocker, Sophos
  • Azione: automatizzare l'installazione del software di sicurezza mancante

    E
  • Condizione: Processo / Servizio
  • Stato: Non disponibile
  • Processo (esempi): threatlockerservice.exe, EPUpdateService.exe
  • Azione: riavviare il processo
Monitorare la presenza di minacce rilevate da AV / EDR non integrati
  • Condizione: Evento Windows
  • Esempio (Sophos)
    • Tipo di autenticazione: Sophos Antivirus
    • ID evento: 6, 16, 32, 42
Monitoraggio dei tentativi di accesso utente non riusciti
  • Condizione: Errore di Windows
  • Origine evento: Microsoft-Windows-Security-Auditing
  • ID evento: 4625, 4740, 644 (account locali); 4777 (accesso al dominio)
  • Azione: Aprire un ticket e indagare
Monitoraggio della creazione, dell'elevazione o della rimozione di utenti
su un endpoint
  • Condizione: Errore di Windows
  • Origine evento: Microsoft-Windows-Security-Auditing
  • ID evento: 4720, 4732, 4729
  • Azione: Aprire un ticket e indagare
Verifica se le unità su un endpoint sonocrittografate/non crittografate
  • Condizione: Risultato dello script
  • Script (personalizzato): Verifica dello stato della crittografia
  • Azione: Aprire un ticket e indagare
Monitorare gli errori di backup (NinjaOne Backup)
  • Attività: NinjaOne Backup
  • Nome: Processo di backup non riuscito
Monitoraggio degli errori di backup (altri fornitori di soluzioni di backup)
  • Condizione: Evento Windows
  • Esempio di tipo di autenticazione/ID (Veeam):
    • Tipo di autenticazione: Veeam Agent
    • ID evento: 190
  • Testo contenente: Non riuscito
  • Esempio di tipo di autenticazione / ID (Acronis):
    • Origine evento: Sistema di backup online
    • ID evento: 1
    • Testo contenente: Non riuscito

4 chiavi per migliorare il monitoraggio

  1. Crea un modello di riferimento per il monitoraggio dell'integrità dei dispositivi.
  2. Discuti con i clienti delle loro priorità.
    • Quali server e workstation sono importanti?
    • Quali sono le loro applicazioni critiche per il settore di attività o per l'
      della produttività?
    • Quali sono i loro punti critici nell'IT?
  3. Monitorare il sistema PSA/Creazione dei ticket per individuare eventuali problemi ricorrenti.
    • Modifica le impostazioni degli avvisi per evitare il "rumore" dei ticket.
  4. Monitorate i log eventi dei clienti per individuare eventuali problemi ricorrenti.

Migliori pratiche per la creazione dei ticket e degli avvisi

  1. Genera avvisi solo per informazioni su cui è possibile intervenire: se non hai una risposta specifica associata a un monitoraggio, non monitorarlo.
  2. Classificate i vostri avvisi in modo che vengano indirizzati a diverse schede di servizio nel vostro PSA.
  3. Organizza riunioni periodiche di revisione degli avvisi per discuterne.
    • Quali avvisi generano il maggior numero di notifiche? È possibile eliminarli o ridurne l’ambito?
    • Cosa non viene monitorato o genera notifiche che invece dovrebbe generare?
    • Quali avvisi ricorrenti possono essere risolti automaticamente?
    • Ci sono progetti imminenti che potrebbero generare avvisi?
  4. Ripulite i ticket e gli avvisi una volta risolti. 
    • In NinjaOne, molte condizioni dispongono delle opzioni “Reimposta quando non più vera” o “Reimposta quando non vera per x periodo”, per aiutarti a risolvere e ripulire le notifiche che potrebbero risolversi da sole.

Domande frequenti

Passi successivi