我在设置 elastalert 规则时遇到了一些困难。这是一个非常基本的文档,我已经阅读了文档,但显然没有理解它,我正在寻求一些帮助。
我有一个基本的测试规则,当我从某些设备输入到弹性的数据停止超过 5 分钟时,我想提醒它。
es_host: localhost
es_port: 9200
name: Example rule
type: flatline
index: test_mapping-*
threshold: 1
timeframe:
minutes: 5
filter:
- term:
device: "ggYthy767b"
alert:
- command
command: ["/bin/test"]
realert:
minutes: 10
这是有效的,所以当数据停止时,我会收到一个警报,然后该警报会被静音,直到 10 分钟后它再次发出警报。问题是它每 10 分钟发出一次警报,我不知道如何阻止它。有没有办法让它只发生一次然后停止?还是我误解了?此外,我有 10 多个不同的设备,如果其中任何一个停止发送数据 5 分钟,我希望应用相同的警报,这可能在一个规则内吗?首先十分感谢。