ラボ 6: データの取り込みが 50% のしきい値に達した時点でのアラートの生成

このラボでは、データ取り込みがしきい値の 50% に達したらアラートを表示するために使用するクエリについて説明します。

前提条件として、日々のデータ取り込みに関する詳細情報を Data Volume Index で取得できる必要があります。
以下のクエリは、しきい値 0.5 に達した場合にのみ結果を返します。where 句をコメントアウトすることで、すべての Collector でクエリをテストできます。
時間範囲を「今日」にして、このクエリが 4 時間ごとに実行されるようにスケジュールを作成するとよいでしょう。

_index=sumologic_volume

| where _sourceCategory="collector_volume"

| parse regex "(?<collector>\"[^\"]*\")\:\{\"sizeInBytes\"\:(?<bytes>\d+),\"count\"\:(?<count>\d+)\}" multi

| bytes/1024/1024/1024 as gbytes

| sum(gbytes) as gbytes by collector

| total gbytes as todays_volume

| "100" as plan_size //replace with your daily plan limit

| gbytes / todays_volume as collector_pct_of_todaysvolume

| todays_volume / plan_size as todaysvolume_against_plan

| where todaysvolume_against_plan > .5 //replace with desired threshold

| sort gbytes

| fields collector, gbytes, collector_pct_of_todaysvolume, todays_volume, plan_size, todaysvolume_against_plan