Elasticsearch 与 Slack 集成：拉取特定字段

Question

我目前正在尝试开发一个松弛通道，以便在收到一组特定警报时使用警报。每当警报出现时，我已经成功地将通知发送到该通道，但是，我无法消息中包含更具体的信息（主机名、源 IP、事件操作等），除非我执行默认的

{{alerts.all.data}}

，它仅将整个 JSON 的原始格式发送到通道。我承认我在这方面不是最有经验的，但是 OSINT 并没有取得丰硕的成果

我已经有了默认的“规则

{{context.rule.name}}

生成了

{{state.signals_count}}

警报”并且工作正常，但我无法弄清楚我希望提取的其他项目的语法。以下是我尝试的几个例子：

{{context.observer.hostname}}

{{alerts.observer.hostname}}

{{observer.hostname}}

{{_source.observer.hostname}}

{{alerts._source.observer.hostname}}

为了澄清，observer.hostname 是一个关键字字段。但是，这不应该影响它是否可以提取该数据，对吗？

如有任何帮助，我们将不胜感激！

Answer 1

您可以使用 以下变量自定义消息：

• 日期
• kibanaBaseUrl
• 规则.id
• 规则名称
• 规则名称。
• 规则.params
• 规则.spaceId
• 规则.标签
• 规则.url

这些应该始终可用。 然后，根据您要创建的警报类型，您可能需要查看其他字段，例如：

• 背景

要引用这些字段，您将使用 moustache 语法