告警和案例

Elastic Stack Serverless

Elasticsearch 和 Kibana 中的告警工具提供了监控数据的功能，并会在重要更改或事件发生时实时通知您。 本页概述了关键组件的工作方式。

告警是在满足特定条件时生成的通知。 这些通知通过您先前设置的渠道发送给您，例如电子邮件、Slack、网络钩子、PagerDuty 等。 告警是基于规则创建的，这些规则定义了触发告警的标准。 规则会监控 Elasticsearch 中索引的数据，并按照定义的计划评估条件以识别匹配项。 例如，当值超过特定阈值时，阈值规则可以生成告警，而当异常检测作业识别到异常时，机器学习规则会激活告警。

案例是一种协作和跟踪工具，对于由告警引起的事件或问题特别有用。 您可以将相关的告警分组到一个案例中，以便于管理，添加注释和评论以提供上下文，跟踪调查进度，并将案例分配给团队成员或将其链接到外部系统。 案例确保团队有一个集中的位置来有效地跟踪和解决告警。

如果您有计划内的中断，维护窗口可以防止规则在该期间生成通知。 告警仍然会发生，但其通知会被抑制。

1. 规则创建： 您设置一个规则来监控服务器日志，以查找在 10 分钟窗口内超过 5 次的失败登录尝试。
2. 告警生成： 当满足规则的条件时，将创建一个告警。
3. 通知： 告警运行一个操作，例如发送 Slack 消息或电子邮件，除非维护窗口处于活动状态。
4. 案例管理： 如果告警是正在进行的调查的一部分，则将其添加到案例中以进行进一步的分析和解决。

通过结合这些工具，Elasticsearch 和 Kibana 能够实现事件响应工作流程，帮助团队高效地检测、调查和解决问题。

您可以使用 Watcher 来告警和监控数据中的特定条件。 它使您能够定义规则并在满足某些条件时采取自动操作。 Watcher 是一种强大的告警工具，适用于自定义用例和更复杂的告警逻辑。 它允许使用 Painless 进行高级脚本编写，以定义复杂的条件和转换。