用elasticsearch分析apache訪問日誌觀察者

Question

我正在使用ELK Stack來分析日誌，我需要分析和檢測apache訪問日誌的異常情況。我可以使用apache訪問日誌分析哪些內容，以及如何使用curl -XPUT向Watcher提供條件？

Answer 1

如果您還沒有找到它，在https://www.elastic.co/guide/en/watcher/watcher-1.0/watch-log-data.html有一個體面的教程。它提供了創建日誌監視的基本示例。

您可以分析/查看您可以在Elasticsearch中查詢的任何內容。這只是使用正確的JSON語法格式化查詢的問題。制定條件的指南是https://www.elastic.co/guide/en/watcher/watcher-1.0/condition.html。

您還需要查看https://www.elastic.co/guide/en/watcher/watcher-1.0/actions.html以瞭解Watcher在查詢滿足條件時可採取的操作。

就Watcher的帖子而言，每個手錶本質上都是一個JSON對象。因爲他們可以得到相當複雜的，我發現它是最好創建一個文件爲每看你想創建，並將其張貼這樣的：

curl -XPUT http://my_elasticsearch:9200/_watcher/watch/my_watch_name -d @/path/to/my_watch_name.json 

my_watch_name.json應該具備以下基本要素（如描述上面的第一個鏈接）：

{ 
    "trigger" : { ... }, 
    "input" : { ... }, 
    "condition" : { ... }, 
    "actions" : { ... } 
} 

的行動部分將是具體到你的使用情況，但這裏的其他部分的一個基本的例子，我使用的是成功的：

{ 
    "trigger" : { 
     "schedule" : { "interval" : "5m" } 
    }, 
    "input" : { 
    "search" : { 
     "request" : { 
     "indices" : [ "logstash" ], 
     "body" : { 
      "query" : { 
      "filtered" : { 
       "query" : { 
       "match" : { "message" : "error" } 
       }, 
       "filter" : { 
       "range" : { "@timestamp" : { "gte" : "now-5m" } } 
       } 
      } 
      } 
     } 
     } 
    } 
    }, 
    "condition" : { 
    "compare" : { "ctx.payload.hits.total" : { "gt" : 0 } } 
    }, 
    "actions" : { 
    ... 
    } 
}