用elasticsearch分析apache访问日志观察者

Question

我正在使用ELK Stack来分析日志，我需要分析和检测apache访问日志的异常情况。我可以使用apache访问日志分析哪些内容，以及如何使用curl -XPUT向Watcher提供条件？

Answer 1

如果您还没有找到它，在https://www.elastic.co/guide/en/watcher/watcher-1.0/watch-log-data.html有一个体面的教程。它提供了创建日志监视的基本示例。

您可以分析/查看您可以在Elasticsearch中查询的任何内容。这只是使用正确的JSON语法格式化查询的问题。制定条件的指南是https://www.elastic.co/guide/en/watcher/watcher-1.0/condition.html。

您还需要查看https://www.elastic.co/guide/en/watcher/watcher-1.0/actions.html以了解Watcher在查询满足条件时可采取的操作。

就Watcher的帖子而言，每个手表本质上都是一个JSON对象。因为他们可以得到相当复杂的，我发现它是最好创建一个文件为每看你想创建，并将其张贴这样的：

curl -XPUT http://my_elasticsearch:9200/_watcher/watch/my_watch_name -d @/path/to/my_watch_name.json 

my_watch_name.json应该具备以下基本要素（如描述上面的第一个链接）：

{ 
    "trigger" : { ... }, 
    "input" : { ... }, 
    "condition" : { ... }, 
    "actions" : { ... } 
} 

的行动部分将是具体到你的使用情况，但这里的其他部分的一个基本的例子，我使用的是成功的：

{ 
    "trigger" : { 
     "schedule" : { "interval" : "5m" } 
    }, 
    "input" : { 
    "search" : { 
     "request" : { 
     "indices" : [ "logstash" ], 
     "body" : { 
      "query" : { 
      "filtered" : { 
       "query" : { 
       "match" : { "message" : "error" } 
       }, 
       "filter" : { 
       "range" : { "@timestamp" : { "gte" : "now-5m" } } 
       } 
      } 
      } 
     } 
     } 
    } 
    }, 
    "condition" : { 
    "compare" : { "ctx.payload.hits.total" : { "gt" : 0 } } 
    }, 
    "actions" : { 
    ... 
    } 
}