0

我正在尝试使用 Elastalert 使用一个简单的规则，但它似乎无法正常运行。我的规则是：

name: termrule
 type: Any
 index: logstash-*
fields:
- "ip"
filter:
- term:
 _type: "log"
- term:
   agentip: 1.2.3.4
  alert:
 email:
- "myemail@company.com "

 ##remote mailserver
smtp_host:
- "remote mailserver_ip"

我的 config.yaml

es_host: 1.2.3.4
es_port: 9200
rules_folder: rules
run_every:
minutes: 1
buffer_time:
 minutes: 15
writeback_index: elastalert_status
alert_time_limit:
days: 2
es_conn_timeout: 20

调试日志：

INFO:elastalert:Note: In debug mode, alerts will be logged to console but NOT actually sent. To send them, use --verbose.
Traceback (most recent call last):
File "/usr/lib/python2.7/runpy.py", line 162, in _run_module_as_main
"__main__", fname, loader, pkg_name)
 File "/usr/lib/python2.7/runpy.py", line 72, in _run_code
exec code in run_globals
 File "/home/george/elastalert/elastalert/elastalert.py", line 1408, in       <module>
sys.exit(main(sys.argv[1:]))
File "/home/george/elastalert/elastalert/elastalert.py", line 1403, in main
client = ElastAlerter(args)
File "/home/george/elastalert/elastalert/elastalert.py", line 94, in __init__
self.conf = load_rules(self.args)
File "elastalert/config.py", line 400, in load_rules
raise EAException('Error loading file %s: %s' % (rule_file, e))
elastalert.util.EAException: Error loading file ./rules/term_rule.yaml:  Invalid Rule: termrule
{'index': 'logstash-*', 'name': 'termrule', 'fields': ['agentip'], 'smtp_host': ['X.X.X.X'], 'alert': ['email'], 'filter': [{'term': {'_type': 'log'}}, {'term': {'agentip': '1.2.3.4'}}], 'rule_file': './rules/term_rule.yaml', 'type': 'Any', 'email': ['myemail@company.com']} is not valid under any of the given schemas

但是当我使用命令运行时

 #sudo python -m elastalert.elastalert --config ./config.yaml --rule ./rules/term_rule.yaml --es_debug_trace ./elastalert.log

我刚刚运行 Kibana 查询以验证我的过滤器返回 5 个命中但我的 elastalert.log 是空的并且我没有收到任何警报电子邮件，如果规则是“任何”那么任何查询命中都应该被提醒，但是你可以看到它不是。有任何想法吗？

任何帮助将非常感激。谢谢

4

1 回答 1

0

YAML 对空格敏感。我不确定复制和粘贴是否出错，但某些字段看起来未对齐：

  alert:
 email:
- "myemail@company.com

我会改为

alert:
- "email"
email:
- "myemail@company.com"

你也有

smtp_host:
- "remote mailserver_ip"

在您的输出错误消息中将其转换为数组。我认为您不能拥有 SMTP 中继列表，因此它可能与可以处理它的架构不匹配。尝试将其更改为

smtp_host: "remote mailserver_ip"
于 2018-04-11T15:58:00.707 回答