AIOps Agent

ML + LLM 2단계 로그 분석 및 이상 탐지 에이전트.

Nginx/SSH 로그를 실시간으로 수집하고, 머신러닝으로 이상을 탐지한 뒤, LLM으로 원인을 분석해서 텔레그램으로 리포트한다.

왜 2단계인가?

단순 규칙 기반(5회 실패 = 알림)은 오탐이 많다. 이 에이전트는 Isolation Forest로 트래픽 패턴의 맥락적 이상을 먼저 감지하고, LLM이 전후 10분 로그 + 서버 상태를 종합 분석해서 크롤러/공격/에러를 구분한다.

파이프라인

[Nginx/SSH Logs]
      │
      ▼
[Ingester] ─── raw text → structured JSON
      │         (IP, timestamp, method, status, UA)
      ▼
[Detector] ─── Isolation Forest (scikit-learn)
      │         contextual anomaly scoring
      ▼
[Analyzer] ─── LLM (Ollama → OpenAI fallback)
      │         전후 10분 로그 + 서버 상태 분석
      │         → 크롤러 / 공격 / 에러 분류
      ▼
[Reporter] ─── Telegram 리포트
               [시간, 위험도, 원인, 대응방안]

스케줄

• 파이프라인 실행: 매 60분
• Health ping: 매 5분
• 모델 재훈련: 매주 일요일 03:00

API Endpoints

• GET /health — Docker healthcheck
• POST /run — 수동 파이프라인 실행
• GET /status — 마지막 실행 결과 + 다음 예정 시간

이벤트

• anomaly.detected → agent:aiops:anomaly 채널로 발행
• Orchestrator가 수신 후 Blog Agent에 보안 포스트 초안 생성 트리거