ElastAlert 不匹配确切的子字符串

Question

我正在尝试使用 ElastAlert 规则匹配日志消息有效负载中的子字符串 notify=warning 或 notify="warning"，但到目前为止，使用我在下面包含的规则过滤器，结果并不理想：

filter: - query: query_string: query: "message:\"notify=warning\" OR message:\"notify=\"warning\"\""

我正在搜索的子字符串位于 message 字段的中间，但我的过滤器的结果与引用的“警告”不匹配，并且它还会拾取仅包含“警告”等词的消息他们。对修复我的比赛的任何帮助将不胜感激。

Answer 1

您可以尝试使用“.keyword”进行精确匹配。

例如

query: "message.keyword:\"notify=warning\" OR message:\"notify=\"warning\"\""