标签: elastalert

我正在针对AWS Elasticsearch 5.1运行此查询并获取格式错误的查询错误.这是请求的正文.我基本上只是在时间范围内检查字段是否存在.

{
  "query": {
    "bool": {
      "filter": {
        "bool": {
          "must": [
            {
              "range": {
                "@timestamp": {
                  "gt": "2017-03-21T15:37:08.595919Z",
                  "lte": "2017-04-21T15:52:08.595919Z"
                }
              }
            },
            {
              "query": [
                {
                  "query_string": {
                    "query": "_exists_: $event.supplier"
                  }
                }
              ]
            }
          ]
        }
      }
    }
  },
  "sort": [
    {
      "@timestamp": {
        "order": "asc"
      }
    }
  ]
}

我正在创建一个应用程序,我需要为某些特定日志发送邮件.这是我的规则文件:

es_host: localhost
es_port: 9200
name: Log Level Test
type: frequency
index: testindexv4
num_events: 1
timeframe:
   hours: 4
filter:
 - term:
     log_level.keyword: "ERROR"
 - query:
     query_string:
       query: "log_level.keyword: ERROR"
alert:
- "email"
email:
- "<mailId>@gmail.com"

这是config.yaml

rules_folder: myrules
run_every:
  seconds: 2
buffer_time:
  seconds: 10
es_host: localhost
es_port: 9200
writeback_index: elastalert_status
alert_time_limit:
  days: 2

这是smpt_auth.yaml

alert:
 - email
email:
 - "<mailId>@gmail.com"
smtp_host: "smtp.gmail.com" 
smtp_port: 587 
smtp_ssl: true
from_addr: "<mailId>@gmail.com"
smtp_auth_file: 'D:\ELK_Info\ElastAlert\elastalert-master\smtp_auth_user.yaml'

这是smtp_auth_user.yaml

user: "<mailId>@gmail.com"
password: "<password>"

当我运行此命令时:

python -m elastalert.elastalert --verbose …

我已经使用elasticsearch主机配置了elastalert实例.我还创建了一个示例规则,它将在日志中匹配该模式时检查loglevel和alert.

一切都工作正常,我正在收到我的松弛通道上的警报.

唯一关心的是我收到的警报中的信息/数据.elastalert插件发送与我正在寻找的模式相关的所有属性; 但我对所有信息都不感兴趣.我所关心的只是一些特定的属性.

以下是我的规则示例:

# Alert when the rate of events exceeds a threshold

# (Optional)
# Elasticsearch host
 es_host: 

# (Optional)
# Elasticsearch port
 es_port: 

# (OptionaL) Connect with SSL to elasticsearch
#use_ssl: True

# (Optional) basic-auth username and password for elasticsearch
#es_username: someusername
#es_password: somepassword

# (Required)
# Rule name, must be unique
 name: DB2 test Rule

# (Required)
# Type of alert.
# the frequency rule type alerts when num_events events occur with timeframe time …

我按照这个网址安装 Elastalert，但是我什至不知道 config.yaml.example 文件位于哪里。elastalert 默认安装在哪里？我错过了什么吗？

我是使用docker并尝试将elastalert插件添加到我的kibana映像的新手。我正在使用Kibana 7.0.1和Elasticsearch 7.0.1并尝试使用github的elastalert 7.0.1 kibana插件。当我docker-compose up使用下面的docker-compose.yml文件运行时，它似乎确实安装了插件，但实际上并未启动kibana。我是否错过了另一个命令？谢谢

services:
    ...
    kibana:
        image: docker.elastic.co/kibana/kibana:7.0.1
        ...
        command: ./bin/kibana-plugin install https://github.com/bitsensor/elastalert-kibana-plugin/releases/download/1.0.4/elastalert-kibana-plugin-1.0.4-7.0.1.zip

您好，尝试在 test.yaml 文件中配置 slack 通知，出现以下错误 ERROR:root:Could not loadrule /opt/rules/test.yaml: Error initiatingalert ['slack', {'slack_webhook_url': ' https:// hooks.slack.com/servichttps://hooks.slack.com/services/abcd '}]：无法导入模块 slack_webhook_url：需要超过 1 个值才能解压警报：“slack”slack_webhook_url：“ https://hooks。 slack.com/servichttps://hooks.slack.com/services/abcd “这是定义松弛警报的正确方法吗