第 10 章 · 监控、告警与审计
适用对象：运维工程师、值班人员 · 阅读约 14 分钟 · 对应产品界面版本 v1.2.0
备份系统的日常观察有四条互不替代的路径：系统概览看总量、服务监控看组件资源、历史任务看每次执行、日志管理看谁做了什么。告警和报表是把这四条路径上的异常推到人面前的手段。
这一章讲清楚每条路径看什么、看到异常怎么往下追，以及排障时怎么用同一个标识把任务、日志和告警串起来。
读完这一章你会做：
- 分清概览数字、服务监控指标、历史任务记录和日志四者各自能回答什么问题
- 在历史任务里定位一次执行，并把它和操作日志、登录日志、还原点对上
- 配置全局邮件通知并发出一封测试邮件
- 读懂告警规则表中的统计周期、通道沉默周期和告警响应状态
- 按组织要求确定日志留存口径，并在导出前完成脱敏
本章依据的源文档 DRC-012 用「本系统手册明确…」「本系统技术要求…」句式给出了大量具体数值——统计周期、通道沉默周期、跳过文件阈值、日志单文件大小与保留份数、自动清理检测周期、可删除日志的时间下限等。经比对已确认：源文档中的「本系统」是多份第三方产品资料做品牌替换后的残留，并不指 SupDRC（同一批文档里「本系统」同时指向四份版本号互不相同的外部手册，其中一份的版本号与本产品的 v1.2.0 完全对不上）。
所以本章所有标为"基准值""建议值"的数字，用途是制定值班规则和提需求，不是描述 SupDRC 的既有行为。落地前必须在控制台逐项确认哪些真的可配、默认值是多少。每处都附有对应的 TODO。
四条观察路径
| 路径 | 控制台位置 | 回答什么问题 | 不能回答什么 |
|---|---|---|---|
| 系统概览 | 系统概览 | 纳管了多少资源、最近作业结果、存储容量 | 保护覆盖是否完整 |
| 服务监控 | 系统监控 → 服务监控 | 管理服务的 CPU、内存、JVM、服务器与磁盘情况 | 宿主机的真实硬件余量 |
| 历史任务 | 系统监控 → 历史任务 | 某次作业何时跑的、跑了多久、结果如何 | 数据能不能恢复 |
| 日志管理 | 日志管理 → 操作日志 / 登录日志 / 系统日志 | 谁在什么时候做了什么、从哪里登录的 | 作业本身的执行细节 |
核查环境中，概览显示的物理机数量与被保护资源清单不完全一致。判断保护范围要把资源页、保护组、任务记录和还原点四处交叉核对，不能只凭一个概览数字下结论。
服务监控
进入系统监控 → 服务监控，页面按卡片展示各类指标。
截图中的数值列做了遮盖处理。页面还包含服务器与磁盘相关字段，本图只截取了 CPU 与内存两张卡片。
JVM、项目路径和资源字段属于应用观察视角。管理服务运行在容器中时，应用指标、容器指标和宿主机指标是三层不同的东西。不要把这里显示的数值当作产品的最低硬件要求，硬件规划见第 3 章。
历史任务
进入系统监控 → 历史任务。注意页面标题是「会话管理」，和左侧菜单名不一致，找的时候别被绕进去。
任务名称列做了遮盖。筛选条的四个条件可以组合使用，排障时最常用的是"任务名称 + 时间范围"。
- 按任务名称、会话类型、状态或执行结果查询。
- 核对开始时间、结束时间、状态和执行结果。Agent 产生的记录类型显示为「代理备份策略」。
- 点「查看详情」打开任务详情，弹窗中「查看维度」分「总任务」与「明细任务」两个选项卡，明细任务逐条列出执行步骤与每步耗时。
记下作业名称和执行时间，再到备份数据管理 → 主机保护数据里找到对应还原点。任务成功只说明数据写入完成，保护目标仍需要数据恢复验证来确认。验证口径见第 15 章。
日志与追溯
日志管理分为操作日志、登录日志和系统日志三类。
操作日志
操作人员列做了遮盖。排障时把操作日期范围设成和历史任务同一时段，就能看出这次执行是谁触发的。
操作日志按模块、人员、类型、状态和日期查询。
登录日志
失败记录的「提示信息」列直接写明失败原因，比如验证码失效和密码错误——这一列是判断"是操作失误还是暴力尝试"的主要依据。
登录日志记录用户名、地址、访问状态、提示信息及时间。
系统日志
系统日志列表提供文件名、时间、大小、查看和下载。核查环境中可见 sys-info.log、sys-error.log、sys-user.log 及各自的历史文件。
导出排查材料时，先检查是否含有账户、地址等敏感信息。对外提交前去除密码、令牌、个人信息及不必要的环境地址，另外保留一份原始受控副本用于复核。
按标识把三类记录串起来
排障时要用唯一标识把"作业执行记录"和"操作日志""系统日志""告警"关联起来。
| 标识 | 出现位置 | 检索入口 | 用途 |
|---|---|---|---|
| 作业 ID / 会话 ID | 历史任务列表与详情 | 系统监控 → 历史任务，按名称 / 类型 / 状态 / 结果筛选 | 定位单次执行记录、开始与结束时间、结果 |
| 作业名称 | 任务列表、操作日志、告警 | 历史任务按任务名称搜索；操作日志按模块与时间过滤 | 跨日志类型关联同一保护策略 |
| 请求 ID / Trace ID | API 调用返回、系统日志 | 系统日志全文检索（sys-user.log、sys-error.log 等） | 定位一次 API 请求的完整调用链 |
| 还原点 ID / 时间点 | 主机保护数据、恢复任务 | 按对象与时间定位还原点 | 确认作业是否产出可用还原点 |
| 操作者账号与来源 IP | 操作日志、登录日志 | 操作日志按人员 / 模块 / 类型 / 状态 / 日期；登录日志按用户名 | 定位"谁在何时触发了该作业" |
| 告警 ID | 告警页面 | 告警列表按类型与等级筛选 | 把告警与触发它的作业关联 |
建议的检索顺序：
- 从报障信息中取得作业名称或执行时间，在历史任务中定位唯一会话并记录其 ID。
- 以同一时间范围（前后各放宽 5 分钟）在操作日志、登录日志中检索操作者与动作。
- 在系统日志中以作业名称、还原点路径或错误码做全文检索，必要时用
grep在导出的日志包内定位。 - 确认对应还原点是否存在，并完成一次抽样恢复验证。
- 把上述 ID、时间戳与证据编号登记到工单，避免仅凭截图下结论。
关联分析的前提是时间与时区一致。跨系统排查前先确认各节点的 NTP 同步状态，否则"前后 5 分钟"这个窗口本身就是错的。
通知配置
通知分两层：全局邮件配置决定邮件服务器与通知参数，作业高级配置里还有一处通知设置。排查漏报时两处都要看。
「在以下情况通知」的三个复选框就是源文档说的"成功 / 警告 / 失败"三种条件。「邮件标题」用 %变量% 占位符拼装，可以按需要调整。
配置步骤：
- 进入配置中心 → 邮件配置。
- 打开「邮件通知」开关。
- 填写「邮件服务器」（SMTP 服务器地址，示例
smtp.example.com）与「端口」。表单中的端口默认值为465。 - 按邮件服务商要求决定是否打开「加密连接」。
- 填写「发件人邮箱」「发件人密码」与「收件人邮箱」。
- 按需要设置「每日发送报告时间」和「邮件标题」模板。
- 勾选「在以下情况通知」中的成功 / 警告 / 失败。
- 点「测试邮件服务」，确认收到测试邮件后再保存。
源文档记录：核查环境本次未发送测试邮件，也就是说邮件通道尚未实测。启用任一通知渠道前必须发送测试通知并确认送达，否则漏报要到真出事的时候才会发现。
通知内容不得包含账户密码、令牌或完整网络拓扑。多渠道并行时须能区分来源，避免同一事件重复发送造成告警风暴；单一渠道故障不应影响作业本身。所有渠道的发送失败都应在系统侧留痕。
通知渠道
| 渠道 | 通用能力 | 配置位置 | 对接前要准备什么 |
|---|---|---|---|
| 邮件（SMTP） | 可按告警级别分别开启；系统告警与报表通知默认发系统管理员，任务告警默认发任务创建者，可追加收件地址 | 配置中心 → 邮件配置（全局）+ 作业高级配置 | 先配置 DNS 与 SMTP，必须先发送测试邮件；启用 TLS 时端口 465 / 587 |
| SNMP Trap | 产品概述中与 OpenAPI、WebHook 并列 | 待确认 | MIB 文件、Trap 目标地址与团体字 / v3 认证参数 |
| Syslog | 产品功能介绍列出「Syslog / SIEM 集成」；RFC 5424 为标准格式 | 待确认 | 见本章「外发 SIEM」 |
| Webhook | 产品概述列出 WebHook 支持 | 待确认 | payload 格式、鉴权头（Token / HMAC）、超时与失败重试次数 |
| 短信 / 微信 | 参考资料中描述为：短信带默认免费额度，微信分服务中心服务号与自定义服务号两种模式 | 待确认 | 供值班方案选型时参考；该描述未确认属于 SupDRC |
告警规则与阈值
下表的阈值是基准值，用于制定值班规则；SupDRC 的实际配置入口、默认值与原生支持范围需按产品技术确认。
| 规则名称 | 触发条件 | 推荐阈值（基准值） | 通知对象 |
|---|---|---|---|
| 单次备份失败 | 作业执行结果为失败 | 1 次即告警；记录原因并受控重试 | 作业创建者、备份管理员 |
| 连续备份失败 | 同一对象连续失败次数达到 N | N = 3；升级为 P2 | 备份管理员、值班组 |
| 代理离线 | Agent 心跳中断超过阈值 | 离线 ≥ 10 分钟或连续 3 个统计周期（取先到者） | 备份管理员、主机责任人 |
| 存储库容量预警 | 使用率达到阈值或预计可支撑天数不足 | 使用率 ≥ 80% 警告、≥ 90% 严重；剩余可支撑 < 7 天 | 存储管理员、备份管理员 |
| 存储库不可用 | 存储路径不可写或存储服务不可达 | 连续 2 个统计周期 | 存储管理员、备份管理员 |
| 数据获取器（Backup Proxy）不可用 | 组件服务不可达或端口不通 | 连续 2 个统计周期 | 备份管理员 |
| 备份窗口超时 | 作业超过窗口结束时间仍在运行 | 超窗 30 分钟 | 作业创建者、备份管理员 |
| RPO 未达标 | 最近成功还原点时间早于承诺 RPO | 超过 RPO 的 1.0 倍即告警 | 业务责任人、备份管理员 |
| 跳过文件超阈值 | 单次作业跳过文件个数或比例超阈值 | 个数 > 10 或比例 > 20% | 作业创建者 |
| 系统资源（CPU / 内存 / 系统盘） | 使用率持续超过阈值 | CPU / 内存 ≥ 85% 持续 3 个统计周期；系统盘 ≥ 80% | 系统管理员 |
| 告警未响应升级 | 告警产生后超过升级时限仍为「未响应」 | 严重 15 分钟、高 30 分钟、一般 4 小时 | 上级值班、运维负责人 |
| 维护窗口静默 | 维护 / 演练窗口内的预期中断 | 按窗口起止时间抑制通知，窗口结束仍异常则立即告警 | —（抑制，不发送） |
四个必须先统一口径的术语：
| 术语 | 定义 | 取值（基准值） |
|---|---|---|
| 统计周期 | 检测周期，即多久检测一次是否达到报警阈值 | 1 分钟 |
| 通道沉默周期 | 报警发生后若未恢复正常，间隔多久重新发送一次报警通知 | 30 分钟（一般）/ 4 小时（重复提醒） |
| 告警自动关闭 | 指标连续正常后自动关闭，或由处理人手工标记已响应 / 关闭 | 连续 3 个统计周期正常 |
| 告警响应状态 | 新产生的告警默认为「未响应」，查看详情后变为「已响应」 | 未响应 → 已响应 → 已关闭 |
几类告警的处置方向
备份失败：单次失败记录原因并受控重试；连续失败、超过备份窗口或已不满足 RPO 时升级处理。记录作业、主机范围、失败次数、最近可用还原点和处置人。通知之后仍要按验证结果执行下一次备份及恢复可用性确认。
代理离线：先确认是否在维护窗口，再检查主机是否运行、网络是否连通、凭证是否失效及代理服务状态；关联最近扫描与最后备份时间，评估是否影响还原点覆盖。恢复在线后检查遗漏的备份，并登记离线持续时间及处理结果。详细的巡检口径见第 11 章。
容量告警：同时关注剩余空间、增长速度与预计可支撑天数。阈值应结合下一次全备、保留清理、恢复临时空间和扩容提前期设置。空间紧张时先确认保留依赖与扩容方案，禁止直接删除未知备份链文件。
数据获取器（Backup Proxy）或存储库不可用：核对组件所在服务器、网络、服务状态和存储可写性，关联受影响作业与最近可用还原点。恢复服务后验证新备份并做抽样恢复，记录中断时间、重试情况及积压任务。
告警分级
| 等级 | 判据 |
|---|---|
| 严重 | 核心业务无法恢复、备份数据可能损坏、多系统保护中断 |
| 高 | 连续备份失败、关键代理或存储不可用 |
| 一般 | 单次失败、容量预警或非关键配置异常 |
每条事件记录发现、确认、处理、验证和关闭时间。关闭前需要有"保护能力已恢复"的证据，不是异常消失就算关闭。具体响应时限由服务约定确定。
审计与日志留存
保留策略
源文档描述的「日志安全」能力是：可对历史任务、任务操作日志、系统操作日志、高可用日志、任务告警、系统告警六类内容分别设置保留策略，可选永久保留 / 按天数保留 / 按个数保留，并可开启自动清理策略；开启后每 60 秒检测一次；同时仅允许删除 180 天之前的操作日志。
源文档在同一小节里把「SupDRC 是否提供日志安全 / 保留策略配置界面」列为待产品侧确认项——也就是说上面这段能力描述并未确认属于 SupDRC v1.2.0，它的依据指向的是另一份版本号与本产品对不上的参考手册。规划日志留存时先在控制台确认这个界面是否存在、六类分项是否都能配，再决定交付基线里写什么。
下表是源文档给出的轮转与上限建议值：
| 项目 | 建议值 | 说明 |
|---|---|---|
| 单文件大小 | 100 MB | 单个日志文件达到 100 MB 即触发轮转，避免检索与下载缓慢 |
| 保留份数 | 30 份 | 每类日志滚动保留 30 个历史文件（不含当前文件），对应约 3 GB / 类 |
| 保留天数 | 90 天 | 等保或行业合规要求可延长至 180 天以上 |
| 总量上限 | 单类日志 ≤ 3 GB；全部日志目录 ≤ 20 GB | 按 6 类日志估算（100 MB × 30 份 × 6 ≈ 18 GB），预留余量后取 20 GB |
| 写满时行为 | 按时间滚动删除最旧文件，始终保留最新 30 份；删除前触发容量告警并记录删除审计 | 达到总量上限时按"最旧优先"滚动覆盖，绝不整目录清空；清理后仍不足则暂停写入并要求人工介入 |
| 自动清理检测周期 | 60 秒 | 按保留策略定期巡检并清理超范围记录 |
| 保留策略模式 | 按天数 + 按个数双重约束（取先到者） | 兼顾合规留存与磁盘占用 |
| 归档与清理顺序 | 先归档校验，后清理在线日志 | 只有归档文件已校验且符合留存规定后，才处理在线日志清理 |
| 时间与时区 | 统一 NTP 与统一时区 | 轮转文件名应包含日期，跨时区环境以 UTC 命名以免顺序错乱 |
表中每一行的"依据"在源文档里都指向「本系统技术要求」或某份外部用户手册，来源指代不明（见本章开头的提示）。源文档本身也把「SupDRC Agent v1.2.0 日志轮转的可配置项与默认值、写满时的实际行为、是否提供日志安全 / 保留策略配置界面」整体列为待产品侧确认项。
把这张表当作容量规划时的预留依据和向产品侧提问的清单，不要写进交付基线。 落地时先在控制台确认哪些项目真的可配。
导出与归档
归档按日期与系统范围命名，记录导出人、筛选条件、文件校验值和保存位置。只有在归档已校验且符合留存规定之后，才处理在线日志清理。
外发 SIEM
| 对接方式 | 协议 / 格式 | 端口 | 适用场景 |
|---|---|---|---|
| Syslog 外发 | RFC 5424（兼容 RFC 3164），UDP 或 TCP | 514 / 6514 | 通用 SIEM 接入，支持明文或 TLS 传输 |
| Syslog over TLS | RFC 5425，TLS 1.2 / 1.3 | 6514 | 跨网段或合规要求加密传输时 |
| CEF / LEEF | ArcSight CEF、IBM LEEF 文本格式 | 随 Syslog 通道 | 已部署商业 SIEM 且要求标准化的场景 |
| REST / Webhook 推送 | HTTPS + JSON | 443 | 对接 SOAR 或自建日志平台 |
| SNMP Trap | SNMP v2c / v3 | 162 | 以网管平台为主的监控体系 |
建议外发的字段：
| 字段 | 说明 | 示例 |
|---|---|---|
| 事件时间 | ISO 8601 带时区，取系统统一时间 | 2026-09-17T10:22:31+08:00 |
| 事件类型 | 登录、用户变更、策略变更、备份 / 恢复操作、配置变更 | user.disable |
| 操作者 | 账号名 + 来源 IP（不含密码或令牌） | admin@192.0.2.5 |
| 对象与结果 | 被操作对象、成功 / 失败、失败原因 | job-10231 / 成功 |
| 关联标识 | 作业 ID、请求 ID、会话 ID | req-7f3c9a |
| 严重级别 | 映射为 SIEM 可识别的等级 | info / warning / critical |
对接实施要求：外发前统一 NTP 与时区；启用传输加密并校验对端证书；配置发送失败的重试与本地缓冲，缓冲写满时不得阻塞主业务；按最小必要原则脱敏，禁止外发密码、密钥、令牌与完整个人信息；外发通道与本地留存并行，不得以外发替代本地日志留存；上线前完成一次端到端联调，确认 SIEM 侧可检索到测试事件。
统计口径与报表
指标口径
验收与月报里的比率类指标必须先定义口径，否则同一个数字会被解释成不同结论。
| 指标 | 定义（分子 / 分母） | 统计周期 | 数据来源 |
|---|---|---|---|
| 作业成功率 | 结果为成功的作业数 / 全部执行的作业数 | 日 / 周 / 月 | 历史任务（会话管理） |
| 备份成功率（按对象） | 周期内至少成功备份一次的对象数 / 应保护对象总数 | 周 / 月 | 任务记录 + 保护组清单 |
| 保护覆盖率 | 已纳入保护策略的对象数 / 已纳管对象总数 | 月 | 资源页 + 保护组 |
| RPO 达标率 | RPO 承诺时间内存在可用还原点的对象数 / 应保护对象总数 | 周 / 月 | 还原点列表 + RPO 约定 |
| 平均恢复时长（MTTR） | 恢复作业耗时总和 / 恢复作业数 | 月 / 季 | 恢复任务记录 |
| 恢复验证通过率 | 抽样恢复验证通过次数 / 抽样验证总次数 | 月 / 季 | 演练记录 |
| 告警响应及时率 | 在约定时限内响应的告警数 / 告警总数 | 月 | 告警页面 |
| 重删率 / 压缩率 | （源数据量 − 实际占用）/ 源数据量 | 月 | 存储报表 / 作业详情 |
口径注意事项：作业成功率要排除维护窗口内的计划内作业，并在报告中注明排除范围；保护覆盖率须与概览数字交叉核对；RPO 达标率要同时记录最长数据缺口时长；MTTR 要区分文件级、数据库级、整机级，不同粒度的耗时不可混算。
结论必须写明统计范围、统计周期、数据来源与未纳入统计的对象清单。禁止用单台主机或单次作业的结果代替整体结论。
报表
| 报表名称 | 主要内容 | 统计周期 | 数据来源 | 接收对象 |
|---|---|---|---|---|
| 运行概览报表 | 纳管资源数、受保护数据量、系统运行天数、近期任务趋势、告警数量 | 每日 | 概览页 | 系统管理员、运维负责人 |
| 任务运行报表 | 成功 / 失败 / 部分成功作业数、执行时长、吞吐与数据量、失败原因分布 | 每日 / 每周 | 历史任务（会话管理） | 备份管理员、作业创建者 |
| 容量与存储报表 | 总容量、已用 / 可用容量、使用率、即将耗尽的存储库、对象存储摘要与明细 | 每周 | 存储报表 | 存储管理员、系统管理员 |
| 告警汇总报表 | 按等级与类型统计告警数、未响应数、Top N 高频对象、平均响应时长 | 每日 / 每周 | 告警页面 | 值班组、备份管理员 |
| 账号与审计报表 | 账号创建 / 变更 / 停用 / 删除、登录失败、权限变更记录 | 每月 | 操作日志、登录日志 | 审计员、安全负责人 |
| 保护覆盖率与 RPO 合规报表 | 保护覆盖率、RPO 达标率、最长数据缺口、恢复验证通过率 | 每月 | 资源 / 保护组 / 还原点 / 演练记录 | 业务责任人、管理层 |
存储侧的报表还包括「主机保护容量趋势」，用增长率推算扩容时间点：可用容量 ÷ 日均净增长 = 可支撑天数。使用率要和"可支撑天数"一起看，不能只看绝对值。
定时发送的建议：频率按日、周、月三档，发送时间避开备份窗口与业务高峰；报表通知默认发送给系统管理员，任务类通知默认发送给任务创建者，可追加指定收件人；发送失败应重试并留痕，连续失败须转为告警；报表内容须脱敏；每份报表记录生成时间、统计范围与数据来源。
常见问题
在左侧菜单里找不到「会话管理」。 它不是菜单项。菜单路径是系统监控 → 历史任务，页面标题才叫「会话管理」。
作业明明失败了，但没收到邮件。 三处都要查：全局邮件配置的「在以下情况通知」是否勾了「失败」、作业高级配置里的通知设置是否开启、以及「邮件通知」总开关是否打开。核查环境中作业级的「任务电子邮件通知」默认显示为未开启。另外先发一次测试邮件确认通道本身可用。
同一个故障收到十几封告警。 看「通道沉默周期」的设置——它决定报警未恢复时隔多久重发一次。多渠道并行时还要确认能区分来源，避免同一事件重复发送。
历史任务显示成功，但用户说文件没了。 任务成功只代表写入完成。先在主机保护数据里核对还原点的文件数与容量，再核对策略的文件级范围与排除规则（见第 9 章），最后做一次抽样恢复。
登录日志里有一批失败记录，是不是被攻击了？ 先看「提示信息」列。核查环境里出现过「验证码已失效」和密码输入错误这类记录，属于操作失误。要判断异常登录，需把登录日志与账号变更、维护窗口关联起来看，单看失败次数不足以下结论。
日志分区要留多大？ 源文档给的建议值是全部日志目录 ≤ 20 GB，按 6 类日志、每类 100 MB × 30 份估算。但 SupDRC 实际的可配置项和写满行为尚未确认，规划时按建议值预留，上线后再按实际占用复核。