开源夜莺V8.Beta11发版,支持CK告警、事件Pipeline等

这个版本来得迟了一些,主要是新功能加的多,下面简单介绍一下新功能,下下周也计划做一次直播讲解。

支持 ClickHouse 告警

夜莺最重要的定位是告警引擎,所以会持续增加各类数据源的告警支持,ClickHouse 之后还有 Doris、MySQL、Postgres 等。

开源版主要是支持告警,不会支持看图可视化,实在是做不过来,答疑也答疑不过来。

引入事件 Pipeline

告警引擎根据告警规则产生告警事件之后,会有需求对事件做各种二次处理,比如:

  • 有些事件要做 relabel
  • 有些事件要做标签丰富
  • 有些事件要 drop 掉
  • 有些事件要和 AI 联动生成分析建议

于是,我们抽象了事件 Pipeline 的功能,并且在开源版里支持了常用的处理器。

新版菜单

重新整理了菜单,很多菜单收敛到了 Tab 里,有些甚至收敛到侧拉板里,整体功能排布更清晰,更容易找到相关入口。

另外推荐一下菜单快捷跳转功能,Ctrl + K(Mac 里是 Command + K)很好用,很极客。

新版活跃告警

改进活跃告警的 UI,整合了聚合卡片视图和列表视图,平时可以把这个页面投到 On-call 大屏上。

其他一些变动

  • 告警规则支持跨业务组克隆
  • 修复临时分享图表白屏问题
  • 夜莺自身增加对Redis操作的指标
  • 优化了指标转发性能

更多改动请参考 github release 的 changelog。

升级须知

大家可以从夜莺的 github releases 页面下载到最新的发布包。

v6/v7版本都可以平滑升级:

  1. 建议先备份老版本的二进制、配置、integrations 目录等,留好后路然后就可以放心大胆升级了
  2. 如果夜莺所用的DB账号有建表、改表权限,会自动更新表结构,否则就要参考代码仓库里 docker/migratesql 手工改表结构了
  3. integrations 目录可以直接替换成新版
  4. 配置文件 etc/config.toml 建议认真 diff 一下
  5. 容器启动的话,直接拉取 latest 镜像重启即可

夜莺产品特性介绍的PPT

有些人可能对夜莺的产品还不太了解,特准备了一份 PPT,请参考:PPT

<think>嗯,用户这次聚焦在Graylog 5.x开源告警规则匹配方式上,结合之前的本差异讨论,看来是在规划告警系统升级方案。用户提供的引用虽然涉及旧部署配置,但核心需求很明确——需要系统性地了解开源告警规则的运作机制。 从用户引用[3]的server.conf片段能看出ta有实际部署经验,其中elasticsearch_index_prefix等参数配置得很细致,说明用户对底层架构有认知。但告警功能这块引用未涉及,需要结合官方文档补充。 Graylog 5.x的告警规则本质上分三层实现: 首先是条件构建层,用户通过Stream+Field的组合定义监控范围,比如限定某类防火墙日志字段; 其次是触层,开源支持频率阈值、字段值突变两类核心规则,前者可用聚合函数count()统计错误次数,后者用field_diff()捕捉数值异常波动; 最后是行为抑制层,开源提供grace period避免瞬时抖动误报,但没有6.x的动态抑制策略。 用户可能特别关注"字段值突变"这类高级规则,需要展开说明:假设监控磁盘使用率,可设置规则当$usage_delta > 10%$时触告警,其中delta通过prev()和current()函数计算差值。这个在开源需手写pipeline规则实现,而企业有可视化工具。 考虑到用户之前询问过5.4到6.x的差异,生成的问题需要衔接告警功能升级场景:比如规则迁移注意事项、条件表达式语法变化等,这对用户后续升级决策会有帮助。 </think>在开源Graylog 5.x中,告警功能的匹配规则主要通过以下方式实现(基于核心配置文件与API逻辑): --- ### 一、基础告警规则类型 1. **字段值匹配(Field-based Rules)** 在Stream中定义字段条件,当日志命中指定字段规则时触告警: ```yaml # 示例:检测登录失败次数超阈值 rule_type: "field_content" field: "login_status" value: "failed" threshold: 50 # 5分钟内出现50次即告警 time_range: 5m ``` 支持运算符:`>`, `<`, `==`, `!=`, `contains()` [^3] 2. **消息频率检测(Message Count Rules)** 基于时间窗口的日志量统计告警: ```sql WHERE source = "firewall" AND count(*) > 1000 PER 60s # 每秒超1000条即告警 ``` --- ### 二、高级匹配机制 1. **Pipeline规则链(Processing Pipelines)** 通过自定义规则链实现复杂逻辑(需编写Groovy语法): ```groovy rule "Detect SQL Injection" when has_field("http_query") && $http_query =~ /(\'|\%27).*(\bOR\b|\bAND\b).*=/ then create_alert("SQLi_Alert", to_string($message)) end ``` > ✅ 支持正则表达式匹配与多字段组合判断[^1] 2. **聚合条件告警(Aggregation Conditions)** 对分组字段进行统计后触: ```yaml group_by: ["client_ip"] # 按IP分组 condition: "avg(response_time) > 500ms" # 平均响应超500ms告警 ``` --- ### 三、开源限制(相较于企业) | **能力** | **开源5.x** | **企业** | |------------------|--------------------------|----------------------------| | 多规则组合 | 仅支持AND逻辑 | 支持AND/OR/NOT嵌套逻辑树 | | 动态阈值 | 静态数值 | 支持基线自适应(如 $\mu + 3\sigma$) | | 关联事件分析 | 不支持 | 跨日志流关联检测 | --- ### 四、配置路径 1. **Stream管理界面** `Alerts` → `Manage alerts` → `Add condition` 2. **文件配置** 需修改`/etc/graylog/server/server.conf`: ```bash # 启用自定义规则链目录 pipeline_rule_dir = /etc/graylog/rules ``` ---
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

夜莺开源监控

您的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值