如何在 ELK 中进行实时警报

Question

我们的网络设备syslog 服务器（源/目标 IP 和端口）有 ELK(+XPACK)。当source_ip 字段等于特定IP 地址时，我正在尝试实施实时 警报系统。我怎样才能用 ELK 做到这一点？

我尝试用 watcher 来做，但它不是实时的，而且低间隔可能会导致性能问题（？）。

注意：日志速率 ~ 每秒 500 个日志。

Answer 1

如果观察者不够快，那么你需要某事。在数据传入的那一刻会触发什么。摄取管道无法执行外部操作，但如果您有 Logstah，则克隆 (https://www.elastic.co/guide/en/logstash/current/plugins-filters-clone.html) 相关事件并通过电子邮件 (https://www.elastic.co/guide/en/logstash/current/plugins-outputs-email.html) 或任何适合您的方式发出警报。

这样做，将在弹性中存在原始事件，并且可以在单独的警报管道中处理克隆的事件。