由管道分隔的數據Grok模式

Question

我有一個日誌文件，其中數據由管道符號分隔。 「|」。下面是一個例子。有誰知道如何編寫一個GROK模式來提取logstash？

2014年1月7日11：58：48.7694 | LOGLEVEL | LOGSOURCE |的LogMessage

Answer 1

您可以使用gsub API更改管道 「|」以空間和使用GROK來提取它。

例如：

filter { 
    mutate { 
      gsub => ["message","\|"," "] 
    } 

    grok { 
      match => ["message","%{DATESTAMP:time} %{WORD:LOGLEVEL} %{WORD:LOGSOURCE} %{WORD:LOGMESSAGE}"] 
    } 
} 

以上配置是在我與您記錄工作。希望這可以幫到你。

Answer 2

使用此篩選器：

它適用於我。使用該站點以驗證神交百通，https://grokdebug.herokuapp.com/

(?<date>(([0-9]+)-*)+ ([0-9]+:*)+.*)\|%{WORD:LOGLEVEL}\|%{WORD:LOGSOURCE}\|%{WORD:LOGMESSAGE}