Guía del producto

Monitoreo y alertas

Defina políticas de monitoreo, seleccione grupos de endpoints, evalúe condiciones en ventanas de tiempo y dispare alertas con automatización opcional.

Qué es el monitoreo#

El monitoreo es la capa operacional que convierte la telemetría cruda de endpoints en alertas accionables. No es un panel pasivo: es un motor de evaluación que funciona según una programación, aplica condiciones de umbral en ventanas de tiempo y abre alertas cuando esas condiciones se incumplen. Cada alerta está respaldada por datos reales recopilados por el agente del endpoint; no hay ruta de datos sintéticos o de prueba.

Trabajas con el monitoreo a través de políticas de monitoreo. Una política agrupa uno o más monitores, los grupos de endpoints a los que apunta (por tag) y las personas que deben ser notificadas. El motor de evaluación se ejecuta cada minuto, revisa cada política activa contra telemetría reciente y abre o resuelve alertas a medida que cambian las condiciones.

Pantalla de políticas de monitoreo — Políticas de monitoreo con monitores, dispositivos, alertas activas y estado.

Dónde encontrarlo

Abre la barra lateral y busca Monitoring bajo el grupo Endpoints. También puedes llegar a una vista por endpoint desde la página de detalle de cualquier endpoint, en su pestaña Monitoring.

Creación de políticas de monitoreo#

Una política de monitoreo es el contenedor que une monitores, objetivos y destinatarios. Sigue estos pasos para crear una.

1
Abre la página de monitoreo
En la barra lateral, expande el grupo Endpoints y selecciona Monitoring. Se abre la lista de políticas de monitoreo, donde puedes buscar, ordenar y filtrar las políticas existentes.
2
Crea una política nueva
Haz clic en el botón de crear para abrir el formulario de política. Dale un nombre y una descripción opcional, luego habilítala para que el motor de evaluación la tome.
3
Añade monitores
Dentro de la política, cambia a la pestaña Monitors y añade uno o más monitores. Para cada monitor, elige un tipo, establece una severidad y configura el umbral y la ventana de duración que definen cuándo se incumple la condición.
4
Apunta a grupos de endpoints
Especifica a qué endpoints aplica la política seleccionando tags de endpoints. Cada endpoint que lleve uno de los tags seleccionados se convierte en objetivo de la política y es evaluado por cada monitor.
5
Añade destinatarios de notificación
Añade los usuarios o direcciones de correo electrónico que deben ser notificados cuando se dispare o resuelva una alerta. Puedes elegir notificar cuando se crea una alerta, cuando se resuelve, o ambos.
6
Opcionalmente adjunta una automatización
Si quieres que la remediación se ejecute automáticamente, vincula una automatización a un monitor. Cuando ese monitor se incumple, la automatización comienza de inmediato; no se necesita intervención manual.

Apuntar por tag

Las políticas apuntan a endpoints por tag, no por endpoint individual. Etiqueta tus endpoints de forma significativa (por ejemplo, por rol, ubicación o entorno) y una sola política puede cubrir docenas o cientos de endpoints a la vez.

Tipos de monitor#

Cada monitor verifica un tipo específico de condición contra datos reales del endpoint. Los monitores de recursos leen la telemetría que el agente reporta cada minuto; el monitor de tiempo de actividad lee los heartbeats del endpoint; el monitor de logs de eventos lee los logs de eventos de Windows.

Tipo de monitor	Categoría	Configuración
Uso de CPU	Recurso	Umbral porcentual + ventana de duración
Uso de memoria	Recurso	Umbral porcentual + ventana de duración
Uso de disco	Recurso	Umbral porcentual + ventana de duración
IOPS de disco	Recurso	Umbral IOPS + ventana de duración
Throughput de disco	Recurso	Umbral de throughput (MB/s) + ventana de duración
Tiempo de actividad	Disponibilidad	Duración máxima de inactividad (días/horas)
Log de eventos	Evento	Nombre del log, IDs de eventos, origen, niveles, conteo de ocurrencias + ventana de tiempo

Niveles de severidad

Cada monitor lleva una severidad que indica cuán urgente es un incumplimiento. La severidad se muestra en las alertas y se usa para filtrar.

Severidad	Significado
Info	Informativo: no se requiere acción inmediata
Advertencia	Atención necesaria: la condición se acerca a lo crítico
Crítico	Acción inmediata requerida: el servicio o los datos están en riesgo

Ventanas de duración

La mayoría de los monitores requieren un umbral y una ventana de duración. La condición debe mantenerse durante toda la ventana antes de que se abra una alerta: un pico aislado que se disipa dentro de la ventana no dispara. Asegúrate de que la ventana sea lo suficientemente larga para detectar problemas sostenidos, pero lo suficientemente corta para alertar con prontitud.

Alertas y notificaciones#

Las alertas son el resultado en tiempo de ejecución de la evaluación. Cuando la condición de un monitor se incumple durante toda la ventana de duración, se abre una alerta; cuando la condición se normaliza, la alerta se resuelve. Este es el ciclo de vida completo.

1
Se crea la alerta
Cuando el umbral de un monitor se incumple durante toda la ventana de duración, se abre una alerta con estado activo y una marca de tiempo.
2
Se envían notificaciones
Si el monitor está configurado para notificar al crearse, se envía un correo electrónico a cada destinatario de la política en el momento en que se abre la alerta.
3
La automatización se ejecuta (opcional)
Si una automatización está vinculada al monitor, comienza de inmediato: reinicia un servicio, ejecuta un script o abre un ticket sin esperar a un humano.
4
La alerta se resuelve
La alerta se resuelve cuando la condición se normaliza. Si el auto-resolve está activado, el motor la cierra automáticamente; de lo contrario, puedes resolverla manualmente desde la pestaña Activity de la política o la pestaña Monitoring del endpoint.
5
Notificación de resolución (opcional)
Si el monitor está configurado para notificar al resolverse, se envía un segundo correo electrónico a todos los destinatarios confirmando que la alerta se cerró.

Cómo se evalúan las alertas

El motor de evaluación se ejecuta automáticamente cada minuto según una programación; no necesitas dispararlo manualmente.
Para cada política activa, el motor lee los datos de telemetría y logs de eventos más recientes de cada endpoint objetivo.
Cada monitor aplica su condición de umbral sobre la ventana de duración que configuraste.
La ventana debe estar completamente poblada de datos antes de que se cuente un incumplimiento: una ventana parcialmente llena no dispara una alerta, lo que evita falsos positivos por vacíos en los datos.
Cuando se confirma un incumplimiento, se abre una alerta con estado activo.
Si el auto-resolve está habilitado para el monitor, el motor resuelve automáticamente la alerta tan pronto como la condición se normaliza.
Si un monitor tiene una automatización adjunta, la ejecución de la automatización comienza en el momento en que se dispara la alerta.

Destinatarios de notificación

Los destinatarios se gestionan por política y pueden ser usuarios de la plataforma o direcciones de correo electrónico simples. Decides por separado si notificar cuando se crea una alerta, cuando se resuelve, o ambos; así una política puede alertar al abrirse, confirmar al cerrarse o permanecer en silencio hasta que un humano actúe.

Disparar automatizaciones desde alertas

Vincula una automatización a un monitor para ejecutar la remediación en el instante en que se incumple un umbral. La automatización comienza automáticamente cuando se abre la alerta: puedes reiniciar un servicio, ejecutar un script o abrir un ticket sin intervención manual. Combina auto-resolve con automatización para grupos de endpoints totalmente auto-recuperables.

Monitoreo de endpoints#

Mientras las políticas te dan una vista global a nivel de grupo, a veces necesitas enfocarte en un solo endpoint. La página de detalle de cada endpoint tiene una pestaña Monitoring que muestra exactamente qué aplica a ese endpoint y qué le ha ocurrido.

Abre la página de detalle de cualquier endpoint y cambia a la pestaña Monitoring para ver una vista por endpoint.
La tarjeta Assigned Monitors lista cada monitor que apunta a este endpoint (a través de sus tags), con toggles para habilitar o deshabilitar cada uno.
Puedes añadir un monitor directamente desde esta vista seleccionando una política que ya apunte al endpoint y luego configurando el monitor en el drawer.
El historial de alertas muestra solo las alertas de este endpoint, con filtros por estado, severidad y monitor, además de un selector de rango de fechas y paginación.
Puedes reconocer o resolver alertas directamente desde la vista del endpoint; no necesitas volver a la página de la política.
Los datos se cargan bajo demanda cuando abres la pestaña, por lo que las listas grandes de endpoints permanecen rápidas.

Alcance

La pestaña Monitoring del endpoint solo muestra los monitores y alertas que pertenecen a este endpoint. No lista la política completa ni otros endpoints: es una vista enfocada por endpoint, diseñada para un triaje rápido.

Preguntas frecuentes#

¿Con qué frecuencia se evalúa la telemetría?

El motor de evaluación se ejecuta automáticamente cada minuto. El agente del endpoint reporta telemetría cada 60 segundos, por lo que las condiciones se revisan contra datos recientes en cada ciclo.

¿Por qué mi monitor no disparó una alerta aunque se superó el umbral?

Un incumplimiento solo se cuenta cuando la ventana de duración está completamente poblada con muestras de telemetría. Si el agente estaba desconectado o la ventana solo está parcialmente llena, el motor no disparará una alerta. Esto evita falsos positivos causados por vacíos en los datos.

¿Puedo monitorear un solo endpoint en lugar de un grupo?

Las políticas apuntan a grupos de endpoints por tag. Para monitorear un solo endpoint, asígnale un tag único y apúntalo con una política dedicada. La pestaña Monitoring del endpoint muestra los monitores aplicados a ese endpoint específico.

¿Qué ocurre cuando la condición de una alerta se normaliza?

Si el auto-resolve está habilitado para el monitor, el motor cierra automáticamente la alerta tan pronto como la condición vuelve a la normalidad. Si el auto-resolve está desactivado, la alerta permanece activa hasta que la resuelvas manualmente desde la pestaña Activity o la pestaña Monitoring del endpoint.

¿Puedo ejecutar una acción de remediación automáticamente cuando se dispare una alerta?

Sí. Vincula una automatización a un monitor y comenzará en el momento en que se dispare la alerta. Esto te permite reiniciar un servicio, ejecutar un script o abrir un ticket sin intervención manual.

¿Quién recibe las notificaciones de alerta?

Las notificaciones van a los destinatarios que añadas a la política: pueden ser usuarios de la plataforma o direcciones de correo electrónico simples. Controlas por separado si notificar cuando se crea una alerta, cuando se resuelve, o ambos.

¿El monitoreo usa datos reales o muestras sintéticas?

El monitoreo funciona completamente con telemetría real y datos de logs de eventos recopilados por el agente del endpoint. No hay ruta de datos sintéticos o de prueba; cada alerta está respaldada por mediciones reales del endpoint.