使用ELK查找缺少的日志

Question

我刚刚部署了ELK，试图查看它是否可用于监视日志并警告有关问题。

我需要能够检测到的大部分丢失记录： 假设收到一条日志记录，表示用户即将提出某种请求。然后我希望看到日志记录表明请求已经完成。

如果第二条记录在第一条记录到达后的X秒内没有收到，那么出现了一些错误，我想提醒一下。

任何想法如何实现？

Answer 1

我已经使用elapsed{} filter来做类似的事情。通过它，你可以声明第一个事件和“匹配”事件。如果匹配事件没有在一段时间内出现，它会生成一个“过期事件”，您可以检查。