在基于日志的 kusto 查询上设置多个阈值

Posted 2023-03-28

【中文标题】在基于日志的 kusto 查询上设置多个阈值

【英文标题】：Set multiple threshold on a log based kusto query

【发布时间】：2021-04-07 20:34:59

【问题描述】：

我在 Microsoft Azure 中设置了基于日志的警报。通过 ARM 模板完成警报的部署。 您可以在其中输入查询并设置阈值，如下所示。

 "triggerThresholdOperator": 
        "value": "GreaterThan"
      ,
      "triggerThreshold": 
        "value": 0
      ,
      "frequencyInMinutes": 
        "value":15
      ,
      "timeWindowInMinutes": 
        "value": 15
      ,
      "severityLevel": 
        "value": "0"
      ,
      "appInsightsQuery": 
        "value": "exceptions\r\n| where A_ != '2000' \r\n| where A_ != '4000' \r\n| where A_ != '3000' "
      

据我了解，我们只能在整个查询中设置一次阈值。

问题：我的查询中有多个语句，我将其排除在外，因为它只是一种噪音。但是现在我想将值 3000 的阈值设置为 5，并且还想在同一查询中将时间窗口设置为 30。表示仅在过去 30 分钟内发生 5 次时排除 3000（当查询运行时）。

exceptions
| where A_ != '2000' 
| where A_ != '4000' 
| where A_ != '3000' 

我很确定我不能在查询中设置这样的阈值，唯一的解决方法是为值 3000 创建一个新警报并在 ARM 模板中设置一个阈值。我在 Aure 中没有找到任何重的阈值/时间过滤器。有什么方法可以在单个查询中设置多个阈值和时间过滤器？这再次被 ARM 模板中的不同阈值和时间文件检查。

谢谢。

【参考方案1】：

我不完全理解你的问题。

但是对于您的时间窗口问题，您可以执行类似的操作

exceptions
| summarize count() by A_, bin(TimeGenerated, 30m)

这样，您将以 30 分钟为单位计算 A_。

另一种方法是：

let Materialized = materialize(
exceptions
| summarize Count=count(A_) by bin(TimeGenerated, 30m)
); 
Materialized | where Count == 10

但话又说回来，这一切都取决于您想要实现的目标

【参考方案2】：

您可以轻松地在查询中设置它并根据聚合结果触发。

exceptions
| where timestamp > ago(30m)
| summarize count2000 = countif(A_ == '2000'), count3000 = countif(A_ == '3000'), count4000 = countif(A_ == '4000')
| where count2000 > 5 or count3000 > 3 or count4000 > 4

如果结果数大于一个，则应用聚合条件。