Zabbix ложное срабатывание триггера, как правильно написать выражение?

Question

[sflyer]

Получаю от windows сервера журнал событий и выражением ищу ошибку:

{Windows AD SEC:eventlog["Microsoft-Windows-Backup",,,].logeventid(19)}=1

И отлично работает. Но сегодня получил ложное срабатывание - появилось событие 192 и триггер на него сработал. Как задать точный поиск по logeventid?

Answer 1

[sflyer]

Итог такой.
Если версия заббикс сервера 3.4 и выше, POSIX не подойдет (он вообще не реагирует на него). Нужно использовать PCRE. Итого я сделал сейчас так, работает отлично.

{Windows AD SEC:eventlog["Microsoft-Windows-Backup",,,].logeventid(^[1][9]$)}=1

Для составления своего регулярного выражения нашел хороший сервис для этого https://regex101.com/ , довольно удобно.

Answer 2

[Юрий Самойлов]

logeventid принимает регулярное выражение, за точность не ручаюсь, возможно как то так:

{Windows AD SEC:eventlog["Microsoft-Windows-Backup",,,].logeventid(\b1[19]\b)}=1

Comments

[sflyer]

Не работает такой вариант :(
Скиньте, пожалуйста, ссылку, где можно почитать о \b1[ ]\b, не совсем понял, что это значит

[Юрий Самойлов]

sflyer, документация заббикса ссылается сюда. Возможно нужно использовать именно regexp - posix.

[Юрий Самойлов]

Вот так возможно, под рукой заббикса нет - проверить не могу.

{Windows AD SEC:eventlog["Microsoft-Windows-Backup",,,].logeventid(/^19$/)}=1

Answer 3

[Sergey Ryzhkin]

Не уверен, но может проблема в этом - logeventid(19) ?
Не пробовали указать 192 а не 19 ?

Comments

[sflyer]

Наоборот. Он должен искать только событие 19, но реагирует на событие 192, на которое реагировать не должен.

[Sergey Ryzhkin]

sflyer, аа понял, сорян, не так прочитал. Видимо он воспринимает это как маску вида 19*.
А не пробовали взять 19 в одинарные или двойные кавычки: " или ' ?

[sflyer]

Sergey Ryzhkin, Не помогло. С ' не работает триггер, с " работает так же, как и без ковычек