小编Gab*_*iel的帖子

我正在尝试使用 logstash 设置电子邮件警报。现在，每次将模式“错误”解析到我的日志文件时，它都会给我发电子邮件，这可能会导致很多不必要的电子邮件。我想创建一个条件规则，以便让我们说“X 日志文件的模式为 1 分钟内出现错误 3 次，请给我发电子邮件”。这样我就不会被电子邮件淹没。

这是我当前的配置：

input {
  file {
#    sincedb_path => /path/to/whatever/
    path => "/opt/test.log"
    type => "test_log"
  }
}

filter {
   dns {
      add_field => [ "IPs", "Logs, from %{host}" ]
      type => [ "MESSAGES" ]
      resolve => [ "host" ]
      action => [ "append" ]
     }
}

filter {
  if [message] == "Error" or [message] == "error" {
    throttle {
      before_count => 1
      after_count => 3
      period => 10
      key => "%{message}"
      add_tag …