如何在 Elasticsearch 中为日志源生成 ES|QL 检测查询：日志采样与知识指标提取

Elastic 的"重大事件"功能通过读取日志源约 100 份文档来编写检测规则，本文介绍如何选出这 100 份文档。提取循环默认最多五批、每批 20 份，从 OpenTelemetry 演示日志源中提取出 27 个知识指标，涵盖 13 个服务、8 条依赖关系、4 种技术和数据模式。每批样本按实体筛选 40%、多样性采样 40% 等方式抽取，避免均匀随机采样只覆盖最繁忙服务。