Zabbixで過去のエラーログを誤検知

Question

【環境】
Server：CentOS7.0 Zabbix2.4.4
Agent ：CentOS7.0 Zabbix2.4.5

Zabbixのログ監視で過去に出たエラーを再度検知してアラートとして送信してしまう事象に困っています。

条件はこちらです。
({サーバ:logrt["XXX/logs/[0-9]{8}.log",@Error].iregexp(@Error)}<>0) and ({サーバ:logrt["XXX/logs/[0-9]{8}.log",@Error].nodata(300)}=0)

幾つか過去の質問を確認してみましたが、
ログローテートのタイミングで再度全てのログを読みなおしているという問題ではなさそうです。

不要なログ検知を無くしたいです。

Answer 1

• Zabbix の特定のバージョンのバグ (2.2.3, 2.2.4 くらいまでのバージョンで問題があったらしく、同時期の 2.4.x でも修正されている可能性あり)
• ログファイルのタイムスタンプが変わったのに、サイズが減った(またはサイズが変わらない)
• logrt[] でパターンに合致するファイルが(一時的にでも)作成された (vi で開いたときに、20160310.log.swp ができるなど)
• zabbix_sender と併用した場合、Zabbix エージェントの再起動でリセット

Zabbix のログ監視は、バージョンによって動作がちょっとずつ異なっていたりするので、ZABBIX-JPフォーラムで訊いたほうがいいかもしれません。

Comments

[wuzzy]

nodata()の副作用かと思ったのですが、全く関係の無いタイミングで通知される(6時間程ずれてたり)ので頭を悩ませております。
貴重な知見ありがとうございます、Zabbixフォーラムの方にも質問してみたいと思います。