分析和比较主机

我们非常乐意收到您的反馈！告诉我们您的想法！

在 主机 页面上，您可以通过一个名为 Lens 的易于使用的界面，获得以指标为驱动的基础设施视图。在 主机 页面上，您可以查看健康状况和性能指标，以帮助您快速

要从 Kibana 主菜单访问此页面，请转到 可观测性 → 基础设施 → 主机。

要详细了解此页面上显示的指标，请参阅 指标参考 文档。

在 主机 页面上，您可以通过多种方式查看主机指标

过滤主机视图编辑

在 主机 页面上，您可以通过多种机制过滤页面上的数据

要详细了解如何在 Kibana 中过滤数据，请参阅 Kibana 概念。

查看指标编辑

在 指标 选项卡上，查看指标随时间变化的趋势，包括 CPU 使用率、归一化负载、内存使用率、磁盘使用率以及与磁盘 IOP 和吞吐量相关的其他指标。将光标悬停在一条线上以查看特定时间点的指标。在每个可视化中，您可以选择在 Lens 中打开可视化。

要查看特定主机的指标，请参阅 查看主机详细信息。

在 Lens 中打开编辑

指标可视化由 Lens 提供支持，这意味着如果您需要更多灵活性，可以在 Lens 中继续分析。将光标悬停在可视化上，然后单击右上角的省略号图标以在 Lens 中打开可视化。

在 Lens 中，您可以检查用于创建可视化所需的所有字段和公式，对可视化进行修改，并保存更改。

有关使用 Lens 的更多信息，请参阅 有关 Lens 的 Kibana 文档。

查看日志编辑

在 日志 选项卡上，查看您正在监控的系统的日志，并搜索特定的日志条目。此视图显示了当前查询返回的所有主机的日志。

单击 在日志中打开 以跟踪您的日志文件。有关更多信息，请参阅 跟踪日志文件。

要查看特定主机的日志，请参阅 查看主机详细信息。

查看警报编辑

在 警报 选项卡上，查看活动警报以查明问题。使用此视图找出哪些主机触发了警报，并确定根本原因。此视图显示了当前查询返回的所有主机的警报。

从 操作 菜单中，您可以选择

要查看特定主机的警报，请参阅 查看主机详细信息。

查看主机详细信息编辑

无需离开 主机 页面，即可查看与基础设施中运行的每个主机相关的增强指标。在主机列表中，找到要监控的主机，然后单击 切换显示详细信息的对话框 图标 以显示主机详细信息叠加层。

主机详细信息叠加层包含以下选项卡

概述

在 概述 选项卡中，显示了有关所选主机的关键指标，例如 CPU 使用率、归一化负载、内存使用率和最大磁盘使用率。

更改时间范围以查看特定时间段内的指标。

展开每个部分以查看与所选主机相关的更多详细信息，例如元数据、活动警报、在主机上检测到的服务和指标。

将光标悬停在图表上的特定时间段上，以比较给定时间的各种指标。

单击 显示全部 以深入了解相关数据。

元数据

在 元数据 选项卡中，列出了与主机相关的全部元信息

• 主机信息
• 云信息
• 代理信息

所有这些信息在调查事件时都很有帮助，例如，按操作系统或体系结构进行过滤。

指标

在 指标 选项卡中，按类型组织显示主机指标，比 概述 选项卡中提供的视图更完整。

进程

在 进程 选项卡中，列出了主机上运行的进程总数 (system.process.summary.total)，以及以下各种状态的进程总数

• 正在运行 (system.process.summary.running)
• 休眠 (system.process.summary.sleeping)
• 已停止 (system.process.summary.stopped)
• 空闲 (system.process.summary.idle)
• 已死 (system.process.summary.dead)
• 僵尸 (system.process.summary.zombie)
• 未知 (system.process.summary.unknown)

在 顶级进程 表中列出的进程基于对顶级 CPU 和顶级内存消耗进程的聚合。顶级进程的数量由 process.include_top_n.by_cpu 和 process.include_top_n.by_memory 控制。

命令	启动进程的完整命令行，包括可执行文件的绝对路径以及所有参数 (system.process.cmdline)。
PID	进程 ID（process.pid）。
用户	用户名（user.name）。
CPU	自上次事件以来进程占用的 CPU 时间百分比（system.process.cpu.total.pct）。
时间	进程启动时间（system.process.cpu.start_time）。
内存	进程在主内存（RAM）中占用的内存百分比（system.process.memory.rss.pct）。
状态	进程的当前状态和进程总数（system.process.state）。 预期值包括：running、sleeping、dead、stopped、idle、zombie 和 unknown。

通用分析

在 通用分析 选项卡中，您可以查看 CPU 使用情况，直至应用程序代码级别。 在这里，您可以找到资源使用情况的来源，并识别可以优化以降低基础设施成本的代码。 通用分析选项卡包含以下视图。

火焰图	消耗最多资源的函数的直观表示。 每个矩形代表一个函数。 矩形的宽度代表在函数中花费的时间。 堆叠矩形的数量代表堆栈深度，即调用函数以到达当前函数的函数数量。
前 10 个函数	主机上最昂贵的代码行的列表。 查看最常采样的函数，按 CPU 时间、年度二氧化碳排放量和年度成本估算进行细分。

有关通用分析的更多信息，请参阅 通用分析 文档。

日志

在 日志 选项卡中，显示与您选择的主机相关的日志。 默认情况下，日志选项卡显示以下列。

时间戳	来自 timestamp 字段的日志条目的时间戳。
消息	从文档中提取的消息。 此字段的内容取决于日志消息的类型。 如果未检测到特殊的日志消息类型，则使用 Elastic Common Schema (ECS) 基本字段 message。

您可以通过添加您想要按其过滤的任意字段的列来自定义日志视图。 有关更多信息，请参阅 自定义流。 要在日志应用程序中查看日志以进行详细分析，请单击 在日志中打开。

异常

在 异常 选项卡中，显示特定主机的每个单指标异常检测作业的列表。 默认情况下，异常作业按时间排序，最近的作业排在最前面。

除了每个异常作业的名称外，还列出了检测到的严重程度分数等于或大于 50 的异常。 这些分数代表在选定时间段内“警告”或更高的严重程度。 摘要 值代表异常记录结果中主机指标的实际值与预期（“典型”）值之间的增量。

要深入分析指标异常，请选择 操作 → 在异常资源管理器中打开 以查看 机器学习中的异常资源管理器。 您也可以选择 操作 → 在清单中显示 以查看主机清单页面，按特定指标进行过滤。

Osquery

您必须拥有一个活动的 Elastic Agent，并为其分配一个包含 Osquery Manager 集成的代理策略，并且作为用户拥有 Osquery Kibana 权限。

在 Osquery 选项卡中，您可以构建 SQL 语句来查询主机数据。 您可以针对 Elastic Agent 创建和运行实时或保存的查询。 Osquery 结果存储在 Elasticsearch 中，以便您可以使用 Elastic Stack 搜索、分析和可视化主机指标。 要创建保存的查询并添加计划的查询组，请参阅 Osquery。

要查看有关查询的更多信息，请单击 状态 选项卡。 查询状态可能导致 success、error（以及错误消息）或 pending（如果 Elastic Agent 处于脱机状态）。

其他选项包括

• 在发现中查看，以搜索、过滤和查看有关主机指标字段结构的信息。 要了解更多信息，请参阅 发现。
• 在 Lens 中查看，以根据主机指标字段创建可视化效果。 要了解更多信息，请参阅 Lens。
• 以全屏模式查看结果。
• 添加、删除、重新排序和调整列大小。
• 按升序或降序对字段名称进行排序。

为什么我在图表中看到虚线？编辑

您可能在图表中看到虚线的原因有很多。

图表间隔太短编辑

在此示例中，数据发射率低于 Lens 图表间隔。 虚线连接已知数据点，以便更轻松地可视化数据趋势。

图表间隔会根据选定的时间范围自动设置。 要解决此问题，请更改页面顶部的选定时间范围。

数据丢失编辑

实线表示图表间隔已适当地设置为数据传输速率。 在此示例中，实线变为虚线，表示数据丢失。 您可能需要调查此时间段以确定是否存在中断或问题。

图表间隔太短，并且数据丢失编辑

在下面的屏幕截图中，数据发射率低于 Lens 图表间隔 并且 数据丢失。

此数据丢失可能乍一看很难发现。 绿色框概述了常规数据发射，而数据丢失则用粉色概述。 与上述情况类似，您可能需要调查数据丢失的时间段以确定是否存在中断或问题。