去年秋天，企业一家做精密零件的内部制造厂丢了一批货。不是监控被偷，是企业账对不上——仓库说发了，客户说没收到，内部物流单号查不到。监控折腾两周才发现，企业是内部内部员工改了出库记录，把货转手卖给了二手商。监控损失不大，企业十几万，内部但老板气得拍桌子：系统里明明有日志，监控可没人看。企业

这事暴露的内部问题很典型：大多数企业不是没有数据，是监控数据躺在那里睡大觉。监控预警要解决的就是这个——让系统主动喊人，而不是等人去翻。

先搞清楚要盯什么

别一上来就搞大而全。我见过一家公司，上了套号称能监控“所有异常”的系统，结果每天推三百条告警，运维直接关掉通知。预警的第一原则是少而准。

具体盯什么？三个方向最实在。一是行为异常，比如财务账号在凌晨三点登录，或者某个员工突然批量下载客户资料。二是数据异常，库存数字对不上、订单金额突然偏离历史均值。三是流程异常，审批卡在某个节点超过48小时，或者同一笔报销被反复提交。

有个做电商的朋友，他们的预警规则就一条：同一IP在十分钟内下单超过20笔且收货地址分散，直接触发人工审核。就这一条，拦住了刷单团队大半的生意。

数据从哪来，怎么串起来

预警系统最怕信息孤岛。HR系统里有员工离职信息，但门禁系统不知道，离职三个月的人还能刷脸进办公室。这不是技术问题，是没人去打通。

实际操作中，先拉一条最小链路：业务系统产生日志 → 统一采集 → 规则引擎判断 → 通知到人。别小看这条链路，很多公司连第一步都做不好。日志格式五花八门，时间戳对不上，字段缺失。有个客户，ERP里的时间用的是UTC，OA用的是本地时间，两边一对比，所有操作都显示“异常”。

采集之后是存储。不用急着上大数据平台，初期用MySQL加个定时任务就能跑。关键是保留原始日志，别只存告警结果。出了事要回溯，原始数据才是证据。

规则怎么写才不烦人

静态阈值最省事，也最容易失效。比如“单笔报销超过5万就告警”，可销售总监的差旅费本来就高，天天触发，最后没人当回事。

更好的做法是基线加偏离。先跑两周数据，算出每个部门、每个岗位的正常范围，超出两个标准差再报。这样销售总监的5万不报，但行政专员突然报5万，系统就会亮灯。

还有个技巧：分级推送。低风险的发邮件，每天汇总一次；中风险的推企业微信，两小时内响应；高风险的直接打电话。别把所有告警都塞进一个群，那是噪音制造机。

人机配合才是终点

系统再聪明，也判断不了“老板特批”。有个案例，采购经理连续三次选择同一家供应商，价格比市场高8%，系统报警了。调查发现，那家供应商能提供定制包装，其他家做不了。这事如果直接定性为腐败，就冤枉人了。

预警的定位是提示异常，不是定罪。每条告警后面都要有反馈入口：确认正常、标记误报、转人工调查。这些反馈数据攒起来，反过来优化规则。跑三个月，误报率能降一半。

最后说句实在的。别指望一套系统解决所有问题。监控预警的本质是把模糊的直觉变成可量化的信号，然后让该知道的人知道。技术只是工具，真正起作用的是那个愿意在凌晨三点接电话、爬起来看日志的人。