如果匹配查询的所有文档的字段总和超过某个值，则如何获得elastalert triger

Question

当与查询匹配的所有文档的字段总和超过某个值时，是否可以触发elastalert？假设每个文档都有一个＆＃34;价格＆＃34;价值 - 可以在＆＃34;价格＆＃34;的总和时触发弹性。最后一天的值超过200，例如？

示例文件：

{
  type: "transaction",
  price: 20.32
}

英文示例规则：

The sum of all documents where type = 'transaction' over the past hour exceeds 200

Answer 1

ElastAlert不支持开箱即用。

还有尚未解决的an open issue，以及尚未合并的相关pull request。

但是，您可以按照问题中描述的步骤并使用contributed patch自行修改ElastAlert。应该毫无疑问。