Le z-score — mesurer l'anomalie
Le Fingerprint de processus repose sur une statistique fondamentale : le z-score. Il mesure à combien d'écarts-types une valeur s'éloigne de la moyenne de sa baseline.
z = |valeur_actuelle − moyenne| / écart_type
z < 2.0
Normal
z ≥ 2.0
⚡ Anomalie
z ≥ 3.0
⚡⚡ Significatif
La fenêtre glissante est de 60 secondes. Xytherion calcule la moyenne et l'écart-type du CPU d'un processus sur ces 60 points. Si la valeur actuelle dépasse 2 écarts-types, un badge apparaît.
Lire un badge Fingerprint
Dans la liste des processus, un processus anormal affiche :
Ce badge signifie que nginx consomme 3.2 fois son écart-type habituel au-dessus de sa moyenne — une anomalie significative. Pour nginx en production, un CPU de 42% est peut-être le signe d'une vague de requêtes suspectes.
Process DNA — les 15 profils intégrés
Pour 15 processus courants, Xytherion connaît les seuils "normaux" attendus. Si l'un dépasse son enveloppe, une violation DNA est immédiatement émise :
nginxpostgresredissshdnodejavapythonmysqlmongodbelasticsearchrabbitmqdockercontainerdsystemdcronExercice pratique — Observer une anomalie
- 1Laissez Xytherion tourner 2 minutes pour établir les baselines de vos processus.
- 2Stressez un processus spécifique : si nginx tourne, générez des requêtes avec ab -n 1000 -c 50 http://localhost/.
- 3Observez le badge ⚡ apparaître sur nginx dans la liste des processus.
- 4Arrêtez les requêtes — le badge disparaît quand la baseline se rétablit.
- 5Notez la valeur sigma à son pic — c'est votre baseline d'"incident" pour ce serveur.
Ce que vous venez d'apprendre
- Le z-score mesure l'écart d'une valeur par rapport à sa baseline sur 60 secondes.
- z ≥ 2.0 déclenche un badge anomalie — pas une alerte, une observation.
- Process DNA surveille 15 processus courants avec des profils comportementaux intégrés.
- 10 secondes de baseline sont nécessaires avant toute détection — évite les faux positifs au démarrage.