Ein neuer Ansatz namens MeCoLog wurde vorgestellt, um die Erkennung von Anomalien in Systemprotokollen über verschiedene IT‑Umgebungen hinweg zu ermöglichen. Der Ansatz zielt darauf ab, die Leistung bei stark begrenzten Datenmengen zu sichern und damit die Überwachung neu eingesetzter Systeme zu verbessern.
Hintergrund
Systemprotokolle dienen seit langem der Überwachung von Zuverlässigkeit und der Identifikation abweichender Verhaltensweisen in großflächigen Recheninfrastrukturen. In den letzten Jahren haben Deep‑Learning‑Verfahren die Erkennung von Anomalien deutlich vorangetrieben.
Problematik
Die meisten bestehenden Verfahren beruhen auf umfangreichen, system‑spezifischen Historien. Bei neu bereitgestellten Systemen fehlen jedoch sowohl Protokolldaten als auch annotierte Anomalie‑Labels, wodurch herkömmliche Modelle nur eingeschränkt einsetzbar sind. Zusätzlich erschweren unterschiedliche Log‑Strukturen, sich wandelnde Vorlagen und Out‑Of‑Vocabulary‑Probleme den Transfer zwischen Systemen.
Methodik
MeCoLog kombiniert Meta‑Kontrastives Lernen mit einem Hybrid‑Parameter‑Embedding, das Typ, Wert und Schlüssel von Log‑Einträgen kodiert. Die Einbettungen werden über einen Gated‑Key‑Injection‑Mechanismus sowie Rotary‑Position‑Embedding in das Modell integriert, um sowohl die Relevanz einzelner Ereignisse als auch den Ablauf der Ausführung zu erfassen.
Lernziel
Ein asymmetrisches Prototyp‑Kontrastives Lernziel wird eingesetzt, um normale Verhaltensmuster verschiedener Systeme zu alignieren, während Anomalien strikt voneinander getrennt werden. Dieses Ziel unterstützt die robuste Generalisierung bei wenigen verfügbaren Beispielen.
Evaluierung
Um die Wirksamkeit zu prüfen, wurden Experimente mit den öffentlichen Datensätzen HDFS, BGL, Thunderbird, Hadoop und AIT‑LDS v2.0 durchgeführt. In allen getesteten Few‑Shot‑Cross‑System‑Einstellungen übertraf MeCoLog die aktuellen State‑of‑the‑Art‑Baselines.
Ergebnisse
Die Ergebnisse belegen, dass MeCoLog eine stabile und übertragbare Lösung für die Praxis darstellt, insbesondere in Szenarien mit stark eingeschränkter Datenverfügbarkeit.
Dieser Bericht basiert auf Informationen von PLOS ONE, lizenziert unter Creative Commons BY 4.0 (Open Access). Wissenschaftliche Inhalte, offen zugänglich.
Ende der Uebertragung