Ниже приведена моя конфигурация для elastalert.
es_host: xx.xx.xx.xx
es_port: 9200
name: file-creation-alert
type: frequency
index: auditbeat-6.4.0-2019*
filter:
- term:
file.type: file
- term:
event.action: created
include:
- @timestamp
- beat.hostname
- event.action
- file.owner
summary_table_fields:
- @timestamp
- beat.hostname
- event.action
- file.path
- file.type
num_events: 1
timeframe:
hours: 1
alert:
- "slack"
slack:
slack_webhook_url: "https://hooks.slack.com/services/xxx/xxxxx/xxxx"
Теперь в поле Summary_Table_fields я дал @timestamp. Но это не отображается в сгенерированной таблице.
Вы можете увидеть образец таблицы, созданной ниже:
