☰

使用 PowerShell 在特定时间范围内计算实时日志文件中模式匹配的实例数？

tag-icon • tag-icon powershell monitoring tail pattern-matching
使用 PowerShell 在特定时间范围内计算实时日志文件中模式匹配的实例数？

我必须在日志文件中拦截一个模式，并且当该模式在 5 分钟内匹配 5 次时发送警报...

我已经写了这些话，但我被卡住了......我不知道如何处理时间框架......

你能帮我吗？

罗伯托。

$count = get-content test.txt -Tail 1 -Wait | select-string -pattern "auth" -simplematch
$count.length

我尝试过其他方法，但无济于事......

$file = "test.txt"
$mymatch = "auth"
#$FirstEventTime = Get-Date
#$LastEventTime = Get-Date
$Err = 0
$Range =@(1,2,3,4)
$Tailfile = Get-Content $file -Tail 1 -Wait | select-string -pattern $mymatch -simplematch | foreach ($mymatch) {
    if($Err -lt 1){
        New-Event -SourceIdentifier StartEvent -Sender windows.timer
        $Err++
        }
    #elseif ($Err -eq [1-4])
    elseif ($Range -contains $Err){
        $Err++ }
    else {
        New-Event -SourceIdentifier LastEvent -Sender windows.timer
        $FisrtEvent = (get-event StartEvent).TimeGenerated
        $LastEvent = (get-event LastEvent).TimeGenerated
        $Elapsed = $LastEvent-$FisrtEvent
        $realElasped = ($elapsed).TotalMinutes
        [math]::Round($realElasped)

            if ($realElasped -lt 5) {
                echo "sendmail......"
                $Err = 0}
            else {
            $Err = 0
                }
            }
        }

答案1

间隔内发生的次数是一种有用的警报条件，但编写起来并不容易。大多数简单的尾部实现都没有这样的功能。

考虑实现具有可扩展警报条件的日志聚合系统。例如，Graylog 在 Y 分钟内有 X 条消息。是的，这比跟踪一个日志要大得多。但是它也可以提取事件日志和系统日志，并对来自任何主机的任何事件执行类似操作。

答案2

对于那些有同样需求的人，我已经修复了我的脚本，现在它可以工作了！

$MailArgs = @{
    From = bla, bla, bla....
}

$file = "Test.txt"
$FolderLogs = "E:\TMP"
$mymatch1 = "autentica"
$mymatch2 = "WS ERROR"
$Err = 0
$Range =@(1,2,3,4)
$Tailfile = Get-Content $file -Tail 1 -Wait | ?{ $_ -match $mymatch1 -and $_ -match $mymatch2 } | ForEach-Object {
    if($Err -lt 1){
        New-Event -SourceIdentifier StartEvent -Sender windows.timer
        $Err++
    }
    elseif ($Range -contains $Err) {
        $Err++ 
    }
    else {
        New-Event -SourceIdentifier LastEvent -Sender windows.timer
        $FisrtEvent = (get-event StartEvent).TimeGenerated
        $LastEvent = (get-event LastEvent).TimeGenerated
        $Elapsed = $LastEvent-$FisrtEvent
        $realElasped = ($elapsed).TotalMinutes
        [math]::Round($realElasped)

        if ($realElasped -lt 5) {
            Send-MailMessage @MailArgs 2>&1 > $FolderLogs\MailLogs.txt
            $Err = 0
        }
        else {
            $Err = 0
        }
    }
}

相关内容