elasticsearch - Elastalert白名单/黑名单不起作用

Question

因此，我在(Yelp's)Elastalert中运行某个查询，并且我试图过滤出包含多个关键字之一的日志。如果使用any规则类型，则将得到30个与我所拥有的特定查询匹配的集合。当我将规则类型更改为白名单时:

type: whitelist
compare_key: message
ignore_null: true
whitelist: ["exclude_strings"...]

即使知道消息字段包含列出的字符串，我仍然会得到相同的30个匹配项。我还尝试过使用完全匹配整个字段的字符串来更改比较键或字符串，将格式更改为

whitelist:
- "string"
...

没有任何改变。黑名单类型也会发生相同的情况。

我想念什么？

Answer 1

经过进一步测试，事实证明以上两种格式都可以正常工作。我认为它不起作用的原因是我正在查看处于Elastalert状态的hits术语。相反，我应该一直在研究matches术语。搜索返回的hits数目相同，因为每次查询都相同，但是matches术语似乎不是来自ElasticSearch，而是来自Elastalert本身。

也就是说，Elastalert将完整查询发送到ElasticSearch，然后根据白名单条款对返回的数据进行过滤。 hits每次都相同，但匹配项取决于白名单。如果将realert设置为零，您将看到生成的警报数量与matches的数量相同。