elasticsearch 麋鹿如何进行实时报警

我们的网络设备

syslog

服务器（源/目标IP和端口）有ELK（+XPACK）。当

源ip

字段等于特定ip地址时，我正在尝试实现一个实时警报系统。我怎样才能用麋鹿做到这一点

我试着用watcher来做，但它不是实时的，低间隔可能会导致性能问题（？）

---

注意：记录速率约为每秒500个日志。

如果观察者速度不够快，那么您需要某个东西。数据传入时会触发什么。摄取管道无法执行外部操作，但如果您有Logstah，则克隆（）相关事件，并通过电子邮件（）或任何适合您的方式发出警报

---

这样，elastic中将出现原始事件，克隆的事件可以通过单独的警报管道进行处理

好主意。我测试过了，到现在还可以。让我们拭目以待，看看有没有人有更好的想法。谢谢..通过Logstash和Elasticsearch中的一些性能优化，我得到了我想要的。谢谢