TP: Regla de alerta ES|QL y conector

Lo que vas a aprender en este TP

• Crear un conector
• Escribir una regla ES|QL
• Provocar y observar la alerta

Introducción #

Lo que vas a aprender en esta sección

• Crear un conector
• Escribir una regla ES|QL
• Provocar y observar la alerta

Contexto. El equipo quiere recibir un aviso cuando un host devuelve demasiados errores, sin vigilar Discover de forma permanente.

Requisitos previos: TP 1 terminado  ·  Duración estimada: 40 min

Una alerta de extremo a extremo en Kibana.

Puesta en marcha #

Pasos guiados, con su corrección.

1. 1. Crear un índice de eventos

   ¿Por qué? Los datos de ejemplo están congelados en el tiempo: un índice dedicado permite inyectar errores «ahora».

   Crea el índice lab-web e inyecta algunas peticiones correctas.

2. 2. Crear un conector

   ¿Por qué? El conector Server log escribe en los logs de Kibana: práctico para probar sin servicio externo.

   En Stack Management > Connectors, crea un conector Server log llamado «Log de Kibana» (o un conector de Slack si tienes un webhook de prueba).

3. 3. Escribir la regla

   ¿Por qué? ES|QL expresa el umbral y la agrupación en una sola consulta.

   Crea una regla Elasticsearch query en modo ES|QL, evaluada cada minuto, que se dispare cuando un host tenga más de 5 errores en 5 minutos. Añade una acción hacia el conector.

4. 4. Provocar la alerta

   ¿Por qué? Inyectar errores comprueba toda la cadena: consulta, umbral, acción.

   Inyecta 10 errores 503 en web-2 y espera a la siguiente evaluación.

5. 5. Seguir la alerta

   ¿Por qué? Kibana conserva el historial de las alertas y de sus acciones.

   Abre la página de la regla: la alerta web-2 está activa. ¿Qué ocurre 5 minutos después, sin nuevos errores?

Nivel de dificultad : ●●●○○ (3/5)