ElastAlert не соответствует точным подстрокам

Question

Я пытаюсь сопоставить подстроки notify=warning ИЛИ ЖЕ notify="warning" в полезной нагрузке сообщения журнала, использующей правило ElastAlert, и пока результаты менее желательны, используя фильтр правил, который я включил ниже:

filter: - query: query_string: query: "message:\"notify=warning\" OR message:\"notify=\"warning\"\""

Подстроки, которые я ищу, находятся в середине message поле, но результаты моего фильтра не совпадают с цитируемым "предупреждением", и он также будет получать сообщения, в которых есть только слова типа "ПРЕДУПРЕЖДЕНИЕ". Любая помощь в установлении моего матча будет принята с благодарностью.

Answer 1

Вы можете попытаться использовать ".keyword", чтобы точно соответствовать.

например

query: "message.keyword:\"notify=warning\" OR message:\"notify=\"warning\"\""