如何 运行 多个 ElastAlert 规则

Question

我正在学习使用 ElastAlert。我想 运行 ElasAlert 的多基数规则或使用更好的解决方案。

例如，

filter:
- query:
    query_string:
      query: "message: *A*"

filter:
- query:
    query_string:
      query: "message: *B*"

filter:
- query:
    query_string:
      query: "message: *C*"

我需要监控的条件很少，如果每分钟少于 1 条消息，我将需要收到更改。是否可以在一个规则中 运行 或者我可以在多个进程中 运行？

Answer 1

您可以像

一样配置您的 rule_x.yaml 文件

过滤器： - 询问： query_string: 查询："message: A OR message: B OR message: C"

并遵循文档中的其他配置选项 https://elastalert.readthedocs.io/en/latest/

Answer 2

filter:
- query:
    query_string: 
        query: '"message: A OR message: B OR message: C"'

注意事项： 使用单引号传递您的 elasticsearch 查询，因为它在 '' 内（即单引号）