ElastAlert告警

第一部分：Centos6.8上搭建Python环境

注：ElastAlert是用Python写的

参考网址：https://www.cnblogs.com/hengwei/p/5464678.html

第二部分：安装ElastAlert

1、安装最新发布的ElastAlert版本

pip install elastalert

或者

git clone https://github.com/Yelp/elastalert.git

2、进入到本地代码目录

cd elastalert

3、安装setuptools（根据elasticsearch版本）

pip install "setuptools>=11.3"

4、安装几个依赖

yum-y install glib gcc python-devel libffi-devel openssl-devel

5、安装 elastalert

python setup.py install

6、根据Elasticsearch的版本，需要手动安装正确版本的elasticsearch-py

Elasticsearch 5.0+： pip install"elasticsearch>=5.0.0"

Elasticsearch 2.X： pip install "elasticsearch<3.0.0"

7、Pip install -r requirements.txt （依赖）

第三部分：使用ElastAlert

1、创建索引

elastalert-create-index

可能需要在Python安装目录下执行该命令

2、修改的配置文件

cp config.yaml.example config.yaml

/home/shixf/Elastalert/elastalert/config.yaml

/home/shixf/Elastalert/elastalert/example_rules/my_rule.yaml

config.yaml：

rules_folder: example_rules

# 每隔一分钟查询一次elasticsearch
run_every:
  minutes: 1

# 查询时间范围15分钟
buffer_time:
  minutes: 15

# Elasticsearch集群IP
es_host: 10.111.9.196

# Elasticsearch集群端口
es_port: 8890

# 上一步创建的索引名称
writeback_index: elastalert_syatus_test

alert_time_limit:
  days: 2

my_rule.yaml：

# Elasticsearch集群IP
es_host: 10.111.9.196

# Elasticsearch集群端口
es_port: 8890

#use_ssl: True

#es_username: someusername
#es_password: somepassword

# (Required)
# 是此规则的唯一名称。如果两个规则共享相同的名称，ElastAlert将不会启动。
name: XF_TEST1

# (Required)
# 当给定时间范围内至少有一定数量的事件时，此规则匹配
# 该规则需要两个附加选项：num_events、timeframe
type: frequency

# (Required)
# 要查询的索引的名称
# index: logstash-*
# index: event-security*
index: event-gdj-tsoc*

# 将触发警报的事件数量
# 此参数特定于频率类型，是触发警报时的阈值
num_events: 1

# um_events必须发生的时间
#（组合在一起的意思是：在4个小时内有一次触发报警的事件就会触发报警）
timeframe:
  hours: 4

# 过滤器
filter:
  - query_string:
      query: "2018-06-27"

# 告警方式
alert:
- "email"

# (required, email specific)
# 
# 要使用的SMTP主机
smtp_host: smtp.qq.com
# 要使用的端口。默认值是25，587也可以
smtp_port: 587

# 包含SMTP认证凭证的文件的路径。路径可以是绝对的或相对于给定的规则。
# 它应该是YAML格式并包含两个字段，user并且password。如果不存在，则不会尝试进行认证。
smtp_auth_file: smtp_auth_file.yaml

email_reply_to: 发送人的@qq.com

from_addr: 发送人的@qq.com

# 将警报发送到的地址或地址列表
email:
- "接收人的@qq.com"

新建文件smtp_auth_file.yaml

user: "发送人的@qq.com"
password: "byzmrsirxceebeeh"

注意：user填写qq邮箱就可以了，password不是我们qq密码

3、启动测试规则（这步可以省略）

cd /home/shixf/Elastalert/elastalert/example_rules

/usr/local/elastAlert/python2.7/bin/elastalert-test-rule --alert /home/shixf/Elastalert/elastalert/example_rules/my_rule.yaml

4、启动

python -m elastalert.elastalert --config /home/shixf/Elastalert/elastalert/config.yaml --verbose --rule /home/shixf/Elastalert/elastalert/example_rules/my_rule.yaml

第四部分：在Python的虚拟环境中运行ElastAlert

1、Centos6.8上安装virtualenv

virtualenv 是一个创建隔绝的Python环境的工具

参考网址：https://www.cnblogs.com/liuyansheng/p/6141197.html

https://blog.csdn.net/blueheart20/article/details/70598031

1、下载安装virutalenv

pip install virtualenv

我们这是 /usr/local/elastAlert/python2.7/bin/pipinstall virtualenv