Мониторинг лога с помощью find

[Dr759123]

Добрый день сейчас имею имею работающий тригер find(/debianZabbix/log[/var/log/auth.log],,"like","FAILED LOGIN")=1 ( мониторит лог на клиенте на ошибки авторизации из консоли).
Хочу добавить в триггер мониторинг ошибок подключения через SSH.
Привел выражение к виду find(/debianZabbix/log[/var/log/auth.log],,"like","FAILED LOGIN")=1 or find(/debianZabbix/log[/var/log/auth.log],,"like","Failed ")=1. Первая часть (find(/debianZabbix/log[/var/log/auth.log],,"like","FAILED LOGIN")=1) отрабатывает а вторая (find(/debianZabbix/log[/var/log/auth.log],,"like","Failed ")=1) нет.
Подскажите в чем ошибся ?

[Dr759123]

Переделать на log[auth.log,"FAILED"] и log[auth.log,"Failed"], да триггеры на них уже делать. Тут по Item в Latest data будет хотя бы видно получает ли заббикс значение, чтобы потом уже триггер с ним работал.

Спасибо за ответы! Работоспособности от своей конструкции все же добился. Хотя ваш вариант мне понравился больше, буду создавать два элемента данных (один на неправильный ввод в консоли, второй на ошибки при авторизации по ssh) и к каждому из них свой тригuер ! Для истории приведу рабочий вариант своего.

[Alex_UUU]

А вот покажи строчку в логе, которая есть и которая не обрабатывает?
есть ощущение, что что-то с регекспами...

[sudoRoman]

Во второй части возможно пробел после Failed мешает.

[Dr759123]

А вот покажи строчку в логе, которая есть и которая не обрабатывает?
есть ощущение, что что-то с регекспами...

Сымитировал неправильный вход по ssh в последних данных строка содержащая Failed - появилась, но тригер не сработал

[Dr759123]

Во второй части возможно пробел после Failed мешает.

Удалил пробел, не помогло

[sudoRoman]

Item что вообще собирает, ключ у него какой? Ибо в триггере смотрится Failed в разном регистре.

[Alex_UUU]

Я вот тоже не могу понять, какой ключ и где описание функции find

Сделал бы по старинке:
ЭД типа log или logrt гед уже выводил бы в ЭД то, что попало.
А триггер был бы стандартный если есть значение - то срабатывать.

[Dr759123]

Item что вообще собирает, ключ у него какой? Ибо в триггере смотрится Failed в разном регистре.

По поводу Failed в разном регистре все верно 1) FAILED LOGIN - если неправильно ввел пароль или имя usera в консоли при авторизации 2) Failed - если неправильно ввёл имя или пароль usera при авторизации через ssh. Это два разных события в /var/log/auth.log . Хочу получать предупреждение если произошло одно из этих событий.

[sudoRoman]

Переделать на log[auth.log,"FAILED"] и log[auth.log,"Failed"], да триггеры на них уже делать. Тут по Item в Latest data будет хотя бы видно получает ли заббикс значение, чтобы потом уже триггер с ним работал.

[Alex_UUU]

Так сделайте правильный ЭД:
log[файл,<регулярное выражение>,<кодировка>,<макс. кол-во строк>,<режим>,<вывод>,<максзадержка>, <опции>]

Нафига в заббикс переносить весь журнал?

https://www.zabbix.com/documentation/5.2/ru/manual/config/items/itemtypes/zabbix_agent

[Dr759123]

Переделать на log[auth.log,"FAILED"] и log[auth.log,"Failed"], да триггеры на них уже делать. Тут по Item в Latest data будет хотя бы видно получает ли заббикс значение, чтобы потом уже триггер с ним работал.

Спасибо за ответы! Работоспособности от своей конструкции все же добился. Хотя ваш вариант мне понравился больше, буду создавать два элемента данных (один на неправильный ввод в консоли, второй на ошибки при авторизации по ssh) и к каждому из них свой тригuер ! Для истории приведу рабочий вариант своего.

[Dr759123]

Так сделайте правильный ЭД:
log[файл,<регулярное выражение>,<кодировка>,<макс. кол-во строк>,<режим>,<вывод>,<максзадержка>, <опции>]

Нафига в заббикс переносить весь журнал?

https://www.zabbix.com/documentation...s/zabbix_agent

Спасибо за ответы

[Mihail85]

Добрый день, создал элемент данных для отслеживания логов почтовика, в предобработке настроил JS код для фильтрации "своих" айпи если не в списке, то добавляется слово alarm.

сделал триггер по поиску слова alarm, но он срабатывает на каждое сообщение, даже если его нет. Что не так?

[Kos]

Добрый день, создал элемент данных для отслеживания логов почтовика, в предобработке настроил JS код для фильтрации "своих" айпи если не в списке, то добавляется слово alarm.

сделал триггер по поиску слова alarm, но он срабатывает на каждое сообщение, даже если его нет. Что не так?

Так у вас в триггере указано проверять не одно (последнее) значение, а все значения за последний час (второй параметр функции find(): "1h").
Соответственно, при поступлении каждого нового значения проверяется - не было ли за весь последний час хотя бы одного, у которого присутствует подстрока "alarm", и если есть - то триггер срабатывает.

[Mihail85]

Да спасибо работает 1 час ставил, чтобы imap каждые 10 минут не срабатывал на вход