ubuntu filebeat怎样设置报警规则

在Ubuntu上使用Filebeat时，可以通过配置Filebeat的filebeat.yml文件来设置报警规则。Filebeat本身不直接提供复杂的报警功能，但可以结合Elasticsearch和Kibana来实现报警。

以下是一个基本的步骤指南：

1. 安装Filebeat

首先，确保你已经在Ubuntu上安装了Filebeat。如果没有安装，可以使用以下命令进行安装：

sudo apt-get update
sudo apt-get install filebeat

2. 配置Filebeat

编辑/etc/filebeat/filebeat.yml文件，配置Filebeat以发送日志到Elasticsearch。

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/*.log

output.elasticsearch:
  hosts: ["localhost:9200"]
  index: "filebeat-%{+yyyy.MM.dd}"

3. 安装和配置Metricbeat（可选）

如果你需要监控系统指标，可以安装Metricbeat并配置它来发送数据到Elasticsearch。

sudo apt-get install metricbeat

编辑/etc/metricbeat/metricbeat.yml文件，启用你感兴趣的模块：

metricbeat.modules:
- module: system
  period: 10s
  metrics:
  - type: cpu
    period: 10s
  - type: memory
    period: 10s
  - type: disk_io
    period: 10s
  - type: network
    period: 10s

4. 安装和配置Kibana

确保你已经安装并运行了Kibana。

sudo apt-get install kibana

启动Kibana服务：

sudo systemctl start kibana

5. 创建报警规则

在Kibana中，你可以使用Elasticsearch的查询DSL来创建报警规则。以下是一个示例，展示如何在Kibana的Dev Tools中创建一个简单的报警规则。

创建一个索引模式

首先，确保你在Kibana中创建了一个索引模式，以便能够查询Filebeat和Metricbeat的数据。

1. 打开Kibana的Dev Tools控制台。
2. 创建一个索引模式，例如filebeat-*。

PUT /_template/filebeat_template
{
  "index_patterns": ["filebeat-*"],
  "mappings": {
    "_source": {
      "enabled": true
    }
  }
}

创建报警规则

使用Elasticsearch的Watch功能来创建报警规则。以下是一个示例，展示如何创建一个简单的报警规则，当CPU使用率超过80%时触发报警。

1. 在Kibana的Dev Tools控制台中，创建一个Watch。

PUT /_watcher/watch/cpu_high_usage
{
  "trigger": {
    "schedule": {
      "interval": "1m"
    }
  },
  "input": {
    "search": {
      "request": {
        "indices": ["filebeat-*"],
        "body": {
          "query": {
            "bool": {
              "must": [
                {
                  "range": {
                    "system.cpu.user": {
                      "gte": 80
                    }
                  }
                }
              ]
            }
          }
        }
      }
    }
  },
  "condition": {
    "compare": {
      "ctx.payload.hits.total": {
        "gt": 0
      }
    }
  },
  "actions": {
    "email_admin": {
      "email": {
        "to": "admin@example.com",
        "subject": "High CPU Usage Alert",
        "body": "CPU usage is above 80%!"
      }
    }
  }
}

6. 测试报警规则

确保你的报警规则已经生效。你可以通过模拟高CPU使用率来测试报警规则是否正常工作。

stress --cpu 4 --io 2 --vm 2 --vm-bytes 128M --timeout 10s

如果一切配置正确，你应该会收到一封电子邮件通知。

通过以上步骤，你可以在Ubuntu上使用Filebeat结合Elasticsearch和Kibana来设置报警规则。根据你的具体需求，可以进一步自定义和扩展这些规则。