前言

Filebeat 是一款有力巨大的轻巧量级日志 shipper， 它能将日志从各种来源发送到 Elasticsearch，Kibana 等地方。在本文中，我们将详细介绍怎么在 Debian 系统上配置 Filebeat 以实现报警通知功能。

安装Filebeat

先说说您需要安装 Filebeat。能通过以下命令在 Debian 系统上安装 Filebeat：

sudo apt-get install filebeat

配置Filebeat

编辑配置文件

Filebeat 的配置文件通常位于 /etc/filebeat/filebeat.yml。您需要根据您的需求修改以下配置：

filebeat.inputs:
  - type: log
    enabled: true
    paths:
      - /var/log/*.log
    hosts: 

启用Filebeat

配置完成后 您能用以下命令启动 Filebeat：

sudo systemctl start filebeat

为了确保 Filebeat 在系统启动时自动运行，您能用以下命令启用它：

sudo systemctl enable filebeat

设置告警规则

创建Watcher配置文件

告警规则存储在 Elasticsearch 的 Watcher 功能中。您需要创建一个Watcher配置文件，比方说 /etc/watcher/watcher.yml。

watch {
  input {
    elasticsearch {
      hosts: 
    }
  }
  condition {
    query {
      bool {
        must {
          term {
            field: "message"
            value: "ERROR"
          }
        }
      }
    }
  }
  action {
    email {
      to: 
      subject: "Filebeat Alert: Error in System Log"
    }
  }
}

启用Watcher

保存规则文件后 您需要用以下命令在 Elasticsearch 中加载和启用该规则：

curl -X PUT "localhost:9200/_watcher/_enable" -H 'Content-Type: application/json' -d '
    {
      "watcher_id": "error-watcher"
    }
    '

验证配置

完成以上步骤后Filebeat 将开头监控指定的日志文件，并在检测到 ERROR 级别的日志时通过电子邮件发送告警通知。

通过以上步骤，您能在 Debian 系统上配置 Filebeat 实现报警通知功能。这有助于及时找到系统问题，从而搞优良系统的稳稳当当性和可靠性。

---