ログ監視の概要Graylogでは、一定のルールに基づいて通知を送信することができます。特定のメッセージがログに現れた場合や、例外検知のログが1分あたり50メッセージを超える場合などです。Graylogでは、デフォルトでは通知をEメールで送信するか、もしくはHTTPを使って送信ができます。Graylogが特定のログを検知した後、管理の状態は次の2つの状態になります。Noteここでいう監視の状態は、チケットと読み替えたほうがわかりやすい人もいるでしょう。通知が発生する条件が満たされている間、監視の状態は未解決の状態になります。通常、なんらかの改善を行う必要があります。解決済み通知の条件が満たされなくなったときに、自動的に解決済みのステータスになります。これは監視の最終状態であり、再び条件を満たした場合は、別の通知が行われます。猶予期間が設定されていれば、新しい通知を発生させる前に一定期間待機します。通知の作成まずGraylogのログ監視には重要な要素が3つあります。参照してくださいConditionとNotificationは、独立した設定として存在します。この2つを設定する際、どのStreamとの紐付けが必要になります。同じStreamに紐付いているConditionとNotificationが、すべて実行されるという動きになることに注意してください。一つのStreamの中で、条件Aの場合はA`の通知を送り、条件Bの場合はB`の通知を送るという分岐ができないことを意味しています。このような動きをしたい場合、Streamの設定から見直しを行ってください。ボタンをクリックして、監視条件を作成します。クリックし、次の画面を表示します。この画面で、条件を適用するStreamとタイプを選択します。タイプは以下の3つから選択できます。通知のタイプはプラグインで増やすこともできます。選択した場合の表示例です。選択した場合の設定項目は次の通りです。条件にマッチさせるフィールドです。上記で指定したフィールドにマッチさせる値です。部分一致で検査されます。条件にマッチしたログから何行遡るかの設定。遡った情報がメールに記載可能になります。チェックした場合、状態に関係なく条件にマッチした場合、通知を送信します。選択した場合の設定項目は次の通りです。条件にマッチさせるフィールドです。条件にマッチさせる期間(秒数)を指定します。しきい値を指定します。条件にマッチしたログから何行遡るかの設定。遡った情報がメールに記載可能になります。チェックした場合、状態に関係なく条件にマッチした場合、通知を送信します。選択した場合の設定項目は次の通りです。条件にマッチさせるフィールドです。条件にマッチさせる期間(秒数)を指定します。しきい値を指定します。条件にマッチしたログから何行遡るかの設定。遡った情報がメールに記載可能になります。チェックした場合、状態に関係なく条件にマッチした場合、通知を送信します。ボタンをクリックして、送信する情報のテンプレートを作成します。メールで通知を送信する場合、メールの内容を作成するということです。クリックし、次の画面を表示します。この画面で、通知設定を適用するStreamとタイプを選択します。タイプは以下の2つから選択できます。タイプはプラグインで増やすこともできます。ボタンをクリックすると次の画面が表示されます。Eメール入力項目は次の通りです。Notificationのタイトルです。メールの送信元アドレス(Fromヘッダ)です。本文内では${}に囲まれた置換文字が利用できます。置換文字については後述します。この通知を送信する宛先のユーザを選択します。ユーザ情報に紐づくEメールアドレスにメールは送信されます。この通知を送信する宛先のメールアドレスを入力します。Note各項目について、UTF-8であれば日本語が利用可能です。自動的にMIMEエンコードも行われます。Graylogが日本語を意識して開発されているわけではなく、たまたま日本語が利用できているという可能性が高いため、特殊文字など問題が発生しやすい文字は避けたほうが良いです。以下の置換文字が使用できます。使用して反復処理が可能。反復処理の中で使用可能。HTTPHTTPによる通知では、設定したURLに情報をPOSTします。Notificationのタイトルです。情報をPOSTするURLです。