Logstash自定義日期日誌格式匹配

Question

我有這個日誌打印日期的格式，看起來像這樣：

=   Build Stamp: 10:45:33 On Apr 4 2014   = 

，所以我必須運行神交調試器中的過濾器，但是，如何刪除仍然一無所知字在

grok { 
patterns_dir => "./patterns" 
match => { "message" => "%{F_TIMESTAMP:timestamp}" } 
} 

date { 
match => [ "timestamp" , "HH:mm:ss MMM d yyyy" , "HH:mm:ss MMM dd yyyy" ] 
locale => "en" 
} 

模式文件，

F_TIMESTAMP %{TIME} \On %{MONTH} +%{MONTHDAY} %{YEAR} 

我當前輸出的時間戳記爲

10:45:33 2014年4月4日在Grok調試器上。

那麼我怎樣才能使它兼容/匹配logstash @timestamp？

Answer 1

您可以提取日期時間的每個部分，並在沒有On關鍵字的情況下合併到另一個字段中。

你可以做到這一點如下：

filter { 
    grok {   
     match => { "message" => "%{F_TIMESTAMP}" } 
    } 
    mutate { 
     add_field => { 
      "timestamp" => "%{time} %{month} %{monthday} %{year}" 
     } 
    } 
    date { 
     match => [ "timestamp" , "HH:mm:ss MMM d yyyy" , "HH:mm:ss MMM dd yyyy" ] 
     locale => "en" 
    } 
    mutate { 
     remove_field => [ "time" ,"month","monthday","year","timestamp"] 
    } 
} 

F_TIMESTAMP %{TIME:time}\s*On\s*%{MONTH:month}\s*%{MONTHDAY:monthday}\s*%{YEAR:year}

其工作對我罰款。