Anomalie-Erkennung¶

Die Anomalie-Erkennung in TCM365 nutzt ML-basierte statistische Analyse, um ungewöhnliche Muster in Tenant-Konfigurationsänderungen zu identifizieren. Ergaenzt durch Custom Probes ermöglicht sie proaktives Monitoring jenseits regelbasierter Drift-Erkennung.

Übersicht¶

Während die regelbasierte Drift-Erkennung bekannte Abweichungen von definierten Baselines erkennt, identifiziert die Anomalie-Erkennung unerwartete Muster, die möglicherweise nicht durch explizite Regeln abgedeckt sind. Dies umfasst ungewöhnliche Aenderungshaeufigkeiten, atypische Konfigurationskombinationen und verdaechtige Aktivitaetsmuster.

Kernfunktionen¶

• ML-basiertes Baseline Learning aus historischen Konfigurationsdaten
• Statistische Anomalie-Erkennung mit konfigurierbaren Schwellenwerten
• Event Correlation zur Gruppierung zusammenhaengender Anomalien
• Custom Probes für benutzerdefinierte Monitoring-Checks
• 7 integrierte M365 Probe-Templates
• Scheduled Execution mit konfigurierbaren Intervallen
• Multi-Channel-Alerting bei erkannten Anomalien
• Anomalie-Metriken und Trend-Visualisierung
• Teams CQD (Call Quality Dashboard) Integration für Call-Quality-Anomalieerkennung (v2.4.0)

Architektur¶

flowchart TD
    A[Konfigurationsdaten] --> B[Baseline Learning]
    B --> C[Statistisches Modell]
    D[Neue Snapshot-Daten] --> E[Anomalie-Erkennung]
    C --> E
    E --> F{Anomalie?}
    F -->|Ja| G[AnomalyEvent erstellen]
    F -->|Nein| H[Normal]
    G --> I[Event Correlation]
    I --> J[Benachrichtigung senden]

    K[Custom Probes] --> L[Scheduled Execution]
    L --> M[Probe-Ergebnis]
    M --> N{Fehlgeschlagen?}
    N -->|Ja| O[Alert auslösen]

Baseline Learning¶

Der AnomalyDetectionService lernt normale Konfigurationsmuster aus historischen Snapshot-Daten und erstellt statistische Baselines.

AnomalyBaseline Entity¶

Schwellenwert-Konfiguration¶

Die Anomalie-Schwelle wird als Vielfaches der Standardabweichung definiert:

Anomalie wenn: |aktueller_wert - baseline_wert| > threshold_multiplier * standard_deviation

Event Correlation¶

Erkannte Anomalien werden durch den Event Correlation-Mechanismus gruppiert, der zusammenhaengende Anomalie-Events zu korrelierten Incident-Gruppen zusammenfasst.

AnomalyEvent Entity¶

Korrelationslogik¶

Events werden korreliert basierend auf:

• Zeitliche Nähe -- Events innerhalb eines konfigurierbaren Zeitfensters
• Tenant-Zugehoerigkeit -- Events desselben Tenants
• Resource Type-Verwandtschaft -- Events verwandter Resource Types (z.B. Entra-Änderungen)

Anomalie-Metriken¶

Der AnomalyMetric-Service verfolgt Metriken zur Anomalie-Erkennungsleistung:

Custom Probes¶

Custom Probes ermöglichen benutzerdefinierte Monitoring-Checks, die über die automatische Anomalie-Erkennung hinausgehen.

CustomProbe Entity¶

7 integrierte Probe-Templates¶

TCM365 liefert 7 vorgefertigte Probe-Templates für gängige M365-Monitoring-Szenarien:

Probe-Ausführung¶

sequenceDiagram
    participant S as Scheduler
    participant P as Probe Engine
    participant D as Snapshot-Daten

    S->>P: Probe ausführen (nach Plan)
    P->>D: Relevante Daten abrufen
    D-->>P: Konfigurationsdaten
    P->>P: Prueflogik ausführen
    alt Prüfung bestanden
        P->>P: Ergebnis protokollieren
    else Prüfung fehlgeschlagen
        P->>P: Alert auslösen
        P->>P: Benachrichtigung senden
    end

CustomProbeExecution Entity¶

API-Endpoints¶

Abhängigkeiten¶

Best Practices¶

1. Baseline Learning-Zeit einraeumen -- Mindestens 2 Wochen Snapshot-Historie für aussagekraeftige Baselines
2. Schwellenwerte anpassen -- Standard-Multiplikator (3.0) für sicherheitskritische Metriken auf 2.0 senken
3. False Positives markieren -- False-Positive-Markierungen verbessern die Erkennungsgenauigkeit über die Zeit
4. Custom Probes für spezifische Anforderungen -- Probe-Templates als Ausgangspunkt für organisationsspezifische Checks nutzen
5. Event Correlation nutzen -- Korrelierte Events gemeinsam untersuchen für effizientere Ursachenanalyse
6. Benachrichtigungen konfigurieren -- Mindestens einen Kanal für Anomalie-Alerts aktivieren