Запрос определенного диапазона времени и оповещение в определенное время дня

Question

Мне нужно запустить правило в 2 часа ночи, запрашивая журналы с 0 до 2 часов утра, и оповещать, если совпадения найдены.

Пока что все правила, которые я создал, являются частотными правилами, но я не знаю, как достичь определенного временного диапазона для запроса и определенного времени для предупреждения, может кто-нибудь помочь?

(Я предполагаю, что ЛЮБОЙ тип может позволить мне добавить свой временной диапазон как часть фильтра... но тогда как я могу запускать правило в 2 часа ночи каждый день?)

Answer 1

В UTC:

filter:
  range:
    "@timestamp":
      gte: "now/d+0h"
      lt: "now/d+2h"

Answer 2

если вы хотите, чтобы ваше оповещение действовало только в определенные часы, вы можете создать расширение, которое сбрасывает оповещение, если текущее время не соответствует вашим потребностям, проверьте https://elastalert.readthedocs.io/en/latest/recipes/adding_enhancements.html

с уважением

Answer 3

Сейчас настало время сервера.

filter:
 - range:
   "@timestamp":
      "from": "now-2h"
       "to": "now"