This is an old revision of the document!
Отправка сообщений о событиях Graylog
Общие настройки почты
Прежде всего - необходимо убедиться в том, что сконфигурированы общие почтовые настройки Graylog. Если наш Graylog развёрнут в docker - их необходимо искать в файле docker-compose.yml для Graylog.
cat /opt/graylog/docker-compose.yml
Если они не сконфигурированы - прежде всего необходимо их настроить и уже потом перенходить к настройке событий отправки.
Notifications
Теперь в разделе notifications необходимо создать рассылку. Здесь задается конкретная группа или пользователь для получения рассылки, тема письма, его заголовки и др. В дальнейшем мы сможем назначить эту группу для какого-то конкретного триггера по событиям.
Event definitions
Из раздела notifications переходим в event definitions для создания конкретных триггеров, которые будут запускать отправку. И нажимаем опцию Create definition event. Запустится помощник настройки, который последовательно проведет нас через процесс создания дефиниции.
Самое интересное в процессе это запрос. Формат поля запроса и его синтаксис полностью инеднтичен запросам, которые в Graylog мы выполняем через штатный search. Пример запроса для конкретного сервера Exchange, о критических событиях которого мы хотим получить уведомления.
source:exchange01 AND log_level:критический
Определение критический соответствует в точности категории Windows Event Viewer (в соответствии с языком установленной на сервере Exchange системы).
С остальными полями интуитивно понятнее. Пример.
