Troubleshooting do ElastAlert2

Algumas dicas para investigação de problemas.

Possíveis problemas que podemos ter:

• Problemas de conectividade e/ou autenticação com o Elasticsearch.

• YAML mal formatado (muito comum quando se está testando uma nova rule).

• Rules com mesmo nome (quando se dá Ctrl+C Ctrl+V de rules e se esquece de alterar o nome).

• Cluster Elasticsearch lento fazendo com que as rules não avaliem corretamente as condições de alerta (gerando falsos negativos).

• Thresholds ou querys mal definidas (necessidade de validar melhor os filtros usando o Discover ou o Dev Tools do Kibana).

• Alto consumo de memória do ElastAlert2 quando se tem muitas rules (necessário subir múltiplas instâncias do ElastAlert2, cada uma com um conjunto de regras diferentes).