Elastic Observability
Elastic Observability Certification
Elastic Observability Certification
-
- 1 / 78
-
Flashcards
Welche 3 Monitors stellt Uptime bereit?
icmp, tcp und http
Braucht jeder Endpoint seinen eigene Uptime Instanz?
Nein, eine Instanz kann mehrere Endpoints überwachen
Beispiel Konfiguration für einen Uptime Monitor welcher einen TCP check auf myhost:777 alle 5s ausführt
- type: tcp
id: myhost-tcp-echo
name: My Host TCP Echo
hosts: ['myhost:777']
check.send: "Check"
check.receive: 'Check'
schedule: '@every 5s'
7 Schritte um Heartbeat einzurichten
- Install Heartbeat
- Configure Heartbeat
- Test Config -- ./heartbeat test config
- Test Output -- ./heartbeat test output
- Setup Elasticsearch index templates ./heartbeat setup -e
- Start Heartbeat -- ./heartbeat -e
- Verify that the data is in Elasticsearch
In welchem Verzeichnis liegt die Heartbeat config?
/etc/heartbeat/heartbeat.yml
Was ist eine Integration?
Eine Collection von Assets:
- Data Ingest, Storage und Transformation Rules
- Configuration Options
- Prebuilt Dashboards und Visualizations
- (Alert Rules)
Was ist die Aufgabe einer Agent Policy?
Steuert welche Integration auf welchem Host läuft
Was ist Fleet?
eine web-based UI, mit welcher Elastic Agents zentral gemanaged werden können
Was ist EPR und wer verbindet sich darauf.
Elastic Package Registry -- Kibana, lädt die integrations herunter und speichert sie in Elasticsearch
Was kann von der EPR heruntergeladen werden?
Elastic Agent Integrations
Befehl um elastic agent status anzuzeigen
elastic-agent stats
Aus was besteht ein log eintrag?
Timestamp + DATA
Nenne 4 Challanges mit Logs
- Consitency - jede Applikation und Device eigenes Log Format
- Time Formats -
- Decentralized - ssh und grep not scalable
- No Aggregation
Was bringen Log Integrations mit?
- default paths
- pipeline definitions
- field definitions
- sample dashboards
3 gängige Felder für Filter in Discover
- log.file.path
- log.level
- event.dataset
Was ist Pattern Analysis?
Findet Muster in unstrukturierten log messages
- erstellt Categories anhand von message structure
- erstellt eine Chart
- provides example documents for each pattern
Welche Felder enthalten Raw Entry Logs? Was ist der Unterschied
- message
- beinhaltet die log message, optimiert für einen log viewer
- event.original
- Raw text message of enitre event
- kann für nachweisen der integrität verwendet werden
Was sind gemeinsamkeiten von Logs & Metrics?
- time based
- can contain keywords
Was ist charakteristisch für Logs?
- Beschreiben einen Event (What and when)
- beinhaltet text der geparsed werden muss
Was ist charakteristisch für Metrics?
- fokusiert auf einer periodischen Messung eines Systems
- fokusiert auf numerischen Werten und Keywords
Was bringen Metrics Integrations mit?
- basic logic für das Sammeln von Daten eines bestimmten Service
- Bestimmt wie der Service connected wird
- Deifiniert wie oft die Metriken gesammelt werden
- Beinhaltet ein oder mehrere Metricsets
Welche zwei Arten von Pipelines gibt es?
- Elasticsearch Ingest Pipelines
- Logstash Pipelines
Was ist das Zentrale Element von Ingest Pipelines?
Processors
Was ist das Zentrale Element von Logstash Pipelines?
Filters
Was ist ein ETL Tool?
Extract - Transform - Load
Was ist Conditional Processing und wie wird es umgesetzt?
Jeder Prozessor can conditional gemacht werden -> check mittels painless script
Was passiert mit Dokumenten welche nicht geparsed werden können?
Sie werden rejected
Was können Gründe sein dass Dokumente nicht geparsed werden können?
- rogue message
- log line structure changed
- one-off occurence
Was macht der on-failure processor?
- dokument welches nicht geparsed werden kann wird an den "parsefailures" index gesendet
- kann an einen spezifischen processor gesendet werden -> on failure handler
Was ist betreffend Pipelines speziell für Custom Log Integration?
Bringt keine ingest pipeline mit
Nenne 5 Ingest Processors und für was sie verwendet werden
- split
- split strings on a separator
- KV
- extract key-value pairs
- dissect
structure data by describing the format and the fields you would like to extract
is whitespace sensitive
json
converts a JSON string to a structured JSON object
grok
extracts structured fields out of a single text field within a document
felder werden anhand von grok patterns gefiltert
Wann macht es Sinn den dissect processor zu verwenden, wann macht der grop processor mehr sinn?
- dissect funktioniert gut bei Daten die sich genau gleich wiederholen
- Wenn data structure variiert ist Grok die bessere Wahl
Was ist der Unterschied zwischen dem Remove Processor und dem Drop Processor?
- Remove -> entfernt Felder die nicht benötigt werden
- Drop -> dropped komplette Documents
Processor um aus einem String ein Int zu machen
convert processor
Wie kann Location based on IP ergänzt werden?
geoip processor
Wie können user agents details wie browser, os version, etc hinzugefügt werden?
user_agent processor
Was macht der Enrich Processor?
liest Daten aus anderen Indices und fügt die Resultate beim ingesten hinzu
Was sind die nötigen Schritte für den Enrichment Processor?
- setup an enrich policy
- create an enrich index
- create an ingest pipeline with the enrich processor
Was steht in einer Enrich Policy?
- source index
- match field
- enrich field
Liste mit built-in grok patterns anzeigen
GET _ingest/processor/grok
