ElastAlert의 filter

현재 사내에서는 로그 모니터링 시스템으로 ELK를 구축해서 사용하고 있다.

이 때 ElastAlert의 필터 조건으로 log 레벨이 ERROR인 것은 다 알림을 쏘게 되어 있었다.

이렇게 하면 실제로 중요하지 않은 에러까지도 계속 메세지를 보게 되어 피로감 유발 + 나중에는 에러 알림이 와도 신경을 잘 쓰지 않게 되는 문제가 발생할 수 있었다.

따라서 ElastAlert의 필터를 조금 수정하여 KnownIssue에 대한 것은 슬랙채널에 알림을 보내지 않게 하는 처리가 필요했다.


filter:
- bool:
    must:
      - query_string:
          query: "level.keyword : ERROR AND (application: admin OR application: api OR application: partner OR application: neighbor)"
    must_not:
      - query_string:
          query: "message:method = *"
      - query_string:
          query: "message:(\"BadCredentialsException\" OR \"ResourceException\")"