Détection des changements

Les prérequis #

Vous devez disposer d'un cluster Elasticsearch avec une instance Kibana connectée à ce cluster. Nous vous invitons à faire le TP sur l'installation d'Elasticsearch si ce n'est pas encore le cas.

Vous devez disposer en plus d'un compte Slack. Si vous n'avez pas de compte Slack, vous pouvez le remplacer par un connecteur de type Email, Teams, ...

Les connecteurs #

1. Vous avez besoin d'une clé

   Vous devez créer une clé d'encryptage car on va stocker des données sensibles d'accès aux connecteurs

2. Création d'un webhook Slack

   Vous devez configurer votre compte Slack pour recevoir des messages webhooks.

3. Configuration d'un connecteur Slack

   Vous devez créer un connecteur Slack dans votre cluster avec les informations de l'étape ci-dessus.

4. Fonctionne-t-il?

   Vous devez tester si votre connecteur est bien configuré.

La détection #

1. Nouvel index

   On va créer un nouveau index nommé 'mon-troisieme-index'. Dans une configuration avancée, il faudra plutôt reindexer les documents mais cela fera l'objet d'un autre TP. Il faut que ce nouvel index ait 3 shards et 2 replicas. Le champ user doit être de type 'nested'. Une fois l'index créé, il faut ajouter ces documents dans l'index :

   { "@timestamp": "2026-11-05T12:52:54Z", "message" : "mon bulk", "id": 1, "user": { "office": "RousselTM", "number":125} }
   { "@timestamp": "2026-11-05T12:52:54Z", "message" : "mon bulk", "id": 2, "user": {"office": "rousseltm", "number":4258} }
   { "@timestamp": "2026-11-05T12:52:54Z", "message" : "mon bulk", "id": 3, "user": {"office": "Immo", "number":28215} }
   { "@timestamp": "2026-11-05T12:52:54Z", "message" : "mon bulk", "id": 4, "user": {"office": "Elastic", "number":2825} }
   { "@timestamp": "2026-11-05T12:52:54Z", "message" : "mon bulk", "id": 5, "user": {"office": "ElAStic", "number":2452} }

2. A l'ancienne

   Vous devez créer un 'Watcher' qui génère une alerte si on a plus de 3 messages contenant 'bulk' et envoyer la notification sur Slack

3. Avec la modernité

   Vous devez créer une règle qui génère une alerte si on a plus de 3 messages contenant 'bulk' et envoyer la notification sur Slack

4. La liaison est bonne ?

   Vous devez compléter le nombre de documents dans l'index pour avoir plus de 3 éléments et déclencher l'alerte.

Niveau de difficulté : ●●●●○ (4/5)