它通过将Elasticsearch与两种类型的组件——规则类型和警报——相结合来工作。Elasticsearch会定期被查询，数据被传递给规则类型，由其判断是否找到匹配项。当发生匹配时，该匹配结果会被传递给一个或多个警报，警报将根据匹配结果采取相应行动。 这通过一组规则进行配置，每条规则定义了一个查询、一个规则类型以及一组警报。