logstashで文字列をエラスタレットで検索する

Question

特定のフレーズを検索するためのクエリを書く際に助けが必要です。一致すると、それを投げて警告する必要があります。私は、次を使用していますが、私はそれがフレーズのために一致するとアラートを送信していないと思う：

es_host: elasticsearch.internal 
es_port: 9200 
name: Example rule 
type: frequency 
index: logstash-* 
num_events: 50 
timeframe: 
    hours: 4 
query: 
    query_string: 
     "message" : "this is a test string" # (Required) 
# The alert is use when a match is found 
alert: - "slack" - "debug" 
slack: 
    slack_webhook_url: 'hooks.slack.com/services/abcd'. 

フレーズがログファイルには全く存在していないが、またそれは、アラートを送信しています。

この問題を解決するにはどうすればよいですか？

Answer 1

クエリを書く正しい方法は次のとおりです。これを試してみてください。

filter: 
- query: 
    query_string: 
     query: "message: this is a test string" 

これは、メッセージフィールドに「これはテスト文字列です」と表示されます。それがあなたが探している正確な文字列でない場合、いくつかの正規表現やワイルドカードで試してみてください。