TP : Règle d'alerte ES|QL et connecteur

Ce que vous allez apprendre dans ce TP

• Créer un connecteur
• Écrire une règle ES|QL
• Provoquer et observer l'alerte

Introduction #

Ce que vous allez apprendre dans cette section

• Créer un connecteur
• Écrire une règle ES|QL
• Provoquer et observer l'alerte

Contexte. L'équipe veut être prévenue quand un hôte renvoie trop d'erreurs, sans surveiller Discover en permanence.

Prérequis : TP 1 terminé  ·  Durée estimée : 40 min

Une alerte de bout en bout dans Kibana.

Mise en place #

Étapes guidées, avec leur correction.

1. 1. Créer un index d'événements

   Pourquoi ? Les données d'exemple sont figées dans le temps : un index dédié permet d'injecter des erreurs « maintenant ».

   Créez l'index lab-web et injectez quelques requêtes réussies.

2. 2. Créer un connecteur

   Pourquoi ? Le connecteur Server log écrit dans les journaux de Kibana : pratique pour tester sans service externe.

   Dans Stack Management > Connectors, créez un connecteur Server log nommé « Journal Kibana » (ou un connecteur Slack si vous avez un webhook de test).

3. 3. Écrire la règle

   Pourquoi ? ES|QL exprime le seuil et le regroupement en une requête.

   Créez une règle Elasticsearch query en mode ES|QL, vérifiée chaque minute, qui se déclenche quand un hôte a plus de 5 erreurs sur 5 minutes. Ajoutez une action vers le connecteur.

4. 4. Provoquer l'alerte

   Pourquoi ? Injecter des erreurs vérifie toute la chaîne : requête, seuil, action.

   Injectez 10 erreurs 503 sur web-2 et attendez la vérification suivante.

5. 5. Suivre l'alerte

   Pourquoi ? Kibana garde l'historique des alertes et de leurs actions.

   Ouvrez la page de la règle : l'alerte web-2 est active. Que se passe-t-il 5 minutes plus tard, sans nouvelle erreur ?

Niveau de difficulté : ●●●○○ (3/5)