Logtash的grok过滤器

Question

我的日志文件具有以下形式的行：

10/13 14:05:18.192 [modulename]: [pid]: (debug level string): message string XYZ:<xyz value>

哪里

• modulename是一个字符串
• pid是一个整数
• debug level string是类似于“调试”或“信息”或“错误”的字符串
• message string是一个字符串
• xyz value是一个整数

例：

10/13 14:05:18.192 [MyModule]: [12345]: (debug): This is my message. XYZ: 987

我四处搜寻并尝试了一些操作，但正在获取_grokparsefailure 。 有人可以帮我告诉我可以在logstash中使用哪些过滤器来解析这些日志吗？

Answer 1

首先{GREEDYDATA}表示直到日志记录事件结束。 因此， dbg_lvl之后的所有文本都将分配给{GREEDYDATA}

在这里，尝试以下代码。 您的代码过滤器存在的问题是msg之后无法解析任何内容。 希望这可以帮助。

(?<date>\\d\\d/\\d\\d) %{TIME:time} \\[%{WORD:module}\\]: \\[%{WORD:pid}\\]: \\(%{WORD:log_level}\\): %{CISCO_REASON}. %{WORD}: %{BASE10NUM:xyz_number}