0

Elastalert を使用して単純なルールを利用しようとしていますが、正しく機能していないようです。私のルールは次のとおりです。

name: termrule
 type: Any
 index: logstash-*
fields:
- "ip"
filter:
- term:
 _type: "log"
- term:
   agentip: 1.2.3.4
  alert:
 email:
- "myemail@company.com "

 ##remote mailserver
smtp_host:
- "remote mailserver_ip"

私のconfig.yaml

es_host: 1.2.3.4
es_port: 9200
rules_folder: rules
run_every:
minutes: 1
buffer_time:
 minutes: 15
writeback_index: elastalert_status
alert_time_limit:
days: 2
es_conn_timeout: 20

デバッグ ログ:

INFO:elastalert:Note: In debug mode, alerts will be logged to console but NOT actually sent. To send them, use --verbose.
Traceback (most recent call last):
File "/usr/lib/python2.7/runpy.py", line 162, in _run_module_as_main
"__main__", fname, loader, pkg_name)
 File "/usr/lib/python2.7/runpy.py", line 72, in _run_code
exec code in run_globals
 File "/home/george/elastalert/elastalert/elastalert.py", line 1408, in       <module>
sys.exit(main(sys.argv[1:]))
File "/home/george/elastalert/elastalert/elastalert.py", line 1403, in main
client = ElastAlerter(args)
File "/home/george/elastalert/elastalert/elastalert.py", line 94, in __init__
self.conf = load_rules(self.args)
File "elastalert/config.py", line 400, in load_rules
raise EAException('Error loading file %s: %s' % (rule_file, e))
elastalert.util.EAException: Error loading file ./rules/term_rule.yaml:  Invalid Rule: termrule
{'index': 'logstash-*', 'name': 'termrule', 'fields': ['agentip'], 'smtp_host': ['X.X.X.X'], 'alert': ['email'], 'filter': [{'term': {'_type': 'log'}}, {'term': {'agentip': '1.2.3.4'}}], 'rule_file': './rules/term_rule.yaml', 'type': 'Any', 'email': ['myemail@company.com']} is not valid under any of the given schemas

しかし、コマンドで実行すると

 #sudo python -m elastalert.elastalert --config ./config.yaml --rule ./rules/term_rule.yaml --es_debug_trace ./elastalert.log

Kibana クエリを実行して、フィルターが 5 つのヒットを返したことを確認しましたが、elastalert.log が空であり、アラート メールを受信して​​いませんでした。そうではないことがわかります。何か案は？

どんな助けでも大歓迎です。ありがとう

4

1 に答える 1

0

YAML は空白に敏感です。コピーと貼り付けが間違っていたかどうかはわかりませんが、一部のフィールドがずれているように見えます。

  alert:
 email:
- "myemail@company.com

私はに変更します

alert:
- "email"
email:
- "myemail@company.com"

また、あなたは持っています

smtp_host:
- "remote mailserver_ip"

出力エラーメッセージで配列に変換されています。SMTP リレーのリストを取得できるとは思わないため、それを処理できるスキーマと一致していない可能性があります。に変更してみてください

smtp_host: "remote mailserver_ip"
于 2018-04-11T15:58:00.707 に答える