Проблема с выбором конкретных уровней журналов приложений Windows в NXLog

Question

Я пытаюсь передать только предупреждение/ошибка/критический уровень. Регистрации приложений через NXLog в стек ELK. Когда у меня есть такая конфигурация

<Input EventLog_In> Module im_msvistalog # this kinda works for me, put * to get everything Query <QueryList>\ <Query Id="0">\ <Select Path="Application">*</Select>\ </Query>\ </QueryList> Exec to_json(); </Input>

все работает отлично, и я собираю все уровни журналов приложений. Я попытался положить в качестве параметра на <Select Path> линии, как этот

<Select Path="Application">*[Application/Level=1]</Select>\

И крэпс себя, и я ничего не получаю. NXLog не сообщает о каких-либо проблемах, и я ничего не вижу на стороне журнала.

Я получил информацию о средстве просмотра событий из-опроса этой темы и адаптировать его к моему прецеденту: https://serverfault.com/questions/543494/query-specific-logs-from-event-log-using-nxlog

Answer 1

Фигурного его. По-видимому, эталон для уровня ошибки не является Приложением, это Система. Мой запрос выглядит, как это и работает безупречно

<Select Path="Application">*[System[(Level=1 or Level=2 or Level=3)]]</Select>\

Я использую Windows Server 2008 R2, FWIW.