Splunk IT Service Intelligence (ITSI) で異常が検出されると、通常は注目すべきイベントが生成され、エピソードレビューダッシュボードで確認および管理できます。エピソードレビューは、ITSI のイベント分析フレームワークの一部であり、異常検出によって生成されたイベントを含む注目すべきイベントの確認、注釈付け、管理を一元的に行うための場所です。このプロセスにより、IT オペレーターとアナリストは、異常アラートによって強調表示された潜在的な問題を効率的に特定し、優先順位を付けて対応することができます。異常アラートをエピソードレビューダッシュボードに統合することで、IT サービス管理とオペレーショナルインテリジェンスのより広範なコンテキスト内で、これらのアラートを管理および調査するためのワークフローが効率化されます。

参考: https://docs.splunk.com/Documentation/ITSI/4.10.2/SI/MKA
反復的なITSI導入を開始する上で最も効果的なサービスを特定するためのベストプラクティスは、ビジネスを分析し、収益、顧客満足度、その他の主要業績評価指標（KPI）に最も影響を与える最も重要なサービスを特定することです。サービスアナライザーを使用すると、これらのサービスの優先順位付けと監視が可能です。参考資料：サービスアナライザー

参考: https://newoutlook.it/download/book/splunk/advanced-splunk.pdf Splunk インデックスにデータをオンボードする場合、ITSI がこのデータを使用する必要があると想定して、次の点を考慮する必要があります。
B). データがモジュールから事前に構築された KPI を活用できるかどうかを確認し、適切な TA を使用してデータをオンボードします。
これは、モジュールが、オペレーティングシステム、データベース、Webサーバーなど、特定の種類のデータソース向けに設計された、サービス、KPI、ダッシュボードをパッケージ化したセットであるためです。モジュールは、ベストプラクティスと業界標準に基づいてITサービスを迅速にセットアップおよび監視するのに役立ちます。モジュールを使用するには、モジュールに必要なデータフィールドを抽出および正規化する適切なテクニカルアドオン（TA）をインストールして構成する必要があります。
その他のオプションは、次の理由により検討すべきものではありません。
A) カスタムフィールドで統計関数を使用してKPI計算用のデータを準備する。これは正しくありません。
| カスタム フィールドの統計関数は、KPI の計算時にパフォーマンスの問題や不正確な結果を引き起こす可能性があります。
| stats 関数は、カスタム フィールドではなく、基本検索またはアドホック検索でのみ使用する必要があります。
C). すべてのフィールドが CIM に準拠していることを確認し、対応するモジュールを使用して関連サービスをインポートします。
これは正しくありません。すべてのモジュールがCIM準拠のデータソースを必要とするわけではないからです。一部のモジュールには、そのデータソースに固有のデータモデルとフィールド抽出機能があります。各モジュールのドキュメントを確認し、どのようなデータ要件と依存関係があるかを確認してください。
D) ITSIが活用できるデータモデルをできるだけ多く構築する計画を立てましょう。しかし、これは正しくありません。データモデルを過剰に構築すると、Splunk環境のパフォーマンスが低下し、リソース消費も増加するからです。ITSIのユースケースに必要かつ関連性のあるデータモデルのみを構築すべきです。
参考資料: ITSI のモジュールの概要、[ITSI モジュールのテクニカル アドオンのインストール]

Splunk IT Service Intelligence (ITSI) では、重要なイベントは Event Analytics フレームワークのコンテキスト内で作成および管理されます。これらの重要なイベントは、itsi_tracked_alerts インデックスに保存されます。このインデックスは、さまざまなサービスとその KPI に定義された条件に基づく ITSI の相関検索によって生成されるアクティブな重要なイベントを保持するために特別に設計されています。重要なイベントとは、基本的に調査して解決する必要があるアラートまたは問題です。itsi_tracked_alerts インデックスは、これらのイベントを効率的に保存、クエリ、および管理することを可能にし、ITSI のイベント管理およびレビュー プロセスを容易にします。その他のオプション (itsi_notable_archive、itsi_notable_audit など) は、それぞれ解決済みの重要なイベントのアーカイブや重要なイベント設定の変更の監査など、異なる目的で使用されます。したがって、アクティブな重要なイベントの保存場所として正しい答えは、itsi_tracked_alerts インデックスです。

時間ポリシーは、KPIワークロードの変化に対応するために、1日または1週間の異なる時間帯で使用されるユーザー定義のしきい値です。時間ポリシーは、サービス全体の使用状況における通常の変動に対応し、KPIとサービスヘルススコアの精度を向上させます。例えば、組織のピークアクティビティが標準的な就業時間中である場合、就業時間中は使用率が高く、オフタイムや週末は使用率が低いことを考慮するKPIしきい値時間ポリシーを作成できます。KPIしきい値の時間ポリシーを構成する際に適用されるステートメントは次のとおりです。
* B. 1:00 の通常の動作が 5:00 の通常の動作と異なることが予想される場合に最適です。
これは、時間ポリシーによって、午前/午後、勤務時間/休業時間、平日/週末など、異なる時間帯ごとに異なるしきい値を定義できるためです。これにより、時間帯や週によってKPIデータに生じる可能性のある変動を考慮できます。
その他の記述は、以下の理由により適用されません。
* A. 1人が設定できるポリシーは、1日の各時間につき1つずつ、合計24個までです。これは誤りです。3時間ブロック、2時間ブロック、1時間ブロックなど、異なる時間ブロックの組み合わせを使用することで、24個を超えるポリシーを設定できます。
* C. KPIが日周期で大きく変動すると予想される場合は、そのKPIを使用しないでください。時間ポリシーは、Webトラフィック量やCPU負荷率など、日周期で大きく変動するKPIに対応するように設計されているため、これは正しくありません。
* D. 複数の時間ポリシーが重複することは可能です。ただし、アクティブな時間ポリシーは常に1つだけであるため、これは正しくありません。新しい時間ポリシーを作成すると、以前の時間ポリシーは上書きされ、復元することはできません。
参考資料: ITSI で時間ベースの静的 KPI しきい値を作成する