amazon-web-services - 基于修复条件的 splunk 警报

Question

我正在尝试在 splunk 中创建一个警报，这样如果日志中存在“由于连接而发生错误”的表达式，并且如果在 5 分钟后没有自动修复，它应该生成一个警报。

如果在生成警报后的五分钟内没有出现“由于连接而发生错误”，则可以修复，这意味着问题已修复。这可能吗？请指导。

标签： amazon-web-servicesmonitoringamazon-ekssplunksplunk-query

Answer 1

如果“由于连接而发生错误”消息每 5 分钟出现一次，直到问题得到纠正，那么您应该能够通过计算过去 6 分钟内的消息数量来检测补救措施。

index=foo "Error occured due to connection" earliest=-6m
| stats count
| where count > 1