Champs personnalisés dans l'index elastalert créé dans elasticsearch

Question

ElastAlert met à jour les métadonnées liées aux règles de l'index elastalert_status dans la recherche elasticsearch. Les champs disponibles dans cet index ont des champs comme:

alert_info 
alert_time 
endtime 
exponent 
hits 
matches 
message 
rule_type 
traceback 
until 

de plus certains champs qui stockent le match_body. mais pour chaque sous-champs Kibana montre Tous ces champs semblent provenir de la query_key mais comme il n'y a pas de champ cartographié pour eux, ils sont inaccessibles à la visualisation de Kibana

(l'erreur: no catched mapping for these fields. Refresh fields' list from the management > Index Patterns page), rafraîchissante qui n'aide pas. J'ai essayé d'ajouter des champs dont j'ai besoin avec la directive include (dans le fichier de règles), mais sans succès. Est-ce que quelqu'un a une solution pour obtenir des champs spécifiques dans l'index elastalert_status? qui peut être utilisé dans la visualisation. N'avoir pas essayé mais en donnant le logstash en tant que sortie pour elastalert aidera à ajouter les champs sur la base du contenu du message mais pas sûr s'il peut mot. de toute façon ce n'est pas la meilleure solution possible.

version de ELK pile 5.1.2

Answer 1

changer le code create_index.py avec 'match_body': { 'permis': False True .... crée la cartographie respective dans l'index du ElasticSearch.