logstash grok filter-grok解析失敗

Question

我有多行自定義日誌，我正在通過filebeat multiline關鍵字將它作爲一行處理。現在這包括\ n在每行的結尾處。但是，這會導致我的logstsash配置文件中grok解析失敗。有人可以幫助我做到這一點。下面是如何個個看起來像：

請幫我在下面一行的神交過濾器：

2016年11月18日上午3時05分五十秒：\ n錯誤被拋出：\ nEmpty 隊列\ n ********************************************** *************************** \ n請求發送 是：\ nhpi_hho_de，2015423181057，e06106f64e5c40b4b72592196a7a45cd \ n ********* ************************************************** ************** \ n收到的響應是：\ nQSS RMS保持散列表爲 空\ n ********************* ************************************************** **

Answer 1

由於@Mohsen建議您可能需要使用gsub過濾器，以取代在日誌行中的所有新行字符。

filter { 
    mutate { 
    gsub => [ 
     # replace all forward slashes with underscore 
     "fieldname", "\n", ""   
    ] 
    } 
} 

也許你也可以一個if條件中做以上，以確保沒有任何grokparse失敗。

if "_grokparsefailure" in [tags] or "_dateparsefailure" in [tags] { 
    drop { } 
}else{ 
    mutate { 
    gsub => [ 
     # replace all forward slashes with underscore 
     "fieldname", "\n", ""   
    ] 
    } 
} 

希望這有助於！

Answer 2

，你可以在這裏找到答案：

https://www.elastic.co/guide/en/logstash/current/plugins-filters-mutate.html

你應該使用變異塊替換所有"\n"與""（空字符串）。 或使用該

%{DATESTAMP} %{WORD:time} %{GREEDYDATA}