【发布时间】：2017-10-07 07:35:43
【问题描述】：
我已经在服务器上安装了 logstash，用于通过在所有客户端服务器上安装 filebeat 从多个客户端服务器收集日志，并且一切正常。 现在，如果每个客户端服务器都没有向 filebeat 发送任何日志，我需要接收警报（换句话说，我想在没有生成日志时通过电子邮件接收警报，因为例如我的代码已关闭）。可以使用 statsd 插件来做到这一点，如果是这样，我该怎么做？ 谢谢
【问题讨论】：
【发布时间】：2017-10-07 07:35:43
【问题描述】：
我为此使用了两种技术：
- 在您选择的监控系统（例如 sensu）中设置检查，将 filebeat 的注册表文件中的条目与正在发送的文件的实际大小进行比较。如果百分比过低，请发送警报。
- 注意进入 ES 服务器的日志。根据你的具体需求，你可以查询看看X分钟内有没有收到日志，或者Y分钟内有X台机器上报了日志文件，或者……Elastic的
watcher在这方面做得很好，但也自己写很容易。
【讨论】：
-
感谢您的及时回复。但是我是logstash的新手，您能否解释一下我如何使用Elastic的观察者来达到这些目的。因为我有几个客户，所以知道哪台机器在 1 小时内没有发送任何日志对我来说很重要？我已经安装了 x-pack 但我不知道如何为此目的编写观察程序，假设我有每个客户端服务器的 IP 和按日期划分的日志索引，例如 logstash-2017.10.07。谢谢
-
想象一个查询在过去 5 分钟内发送日志的唯一主机。如果您有 72 台机器，您会期望该数字始终为 72。我相信 watcher 可以运行查询，将结果与 72 进行比较，并提醒您。还有其他方法可以为您提供更大的灵活性。