[英]logstash grok filter ignore certain parts of message
我有一个drupal看门狗日志文件,该文件以syslog
东西(例如timestamp等)开头,然后有一个管道分隔的我登录看门狗的东西。 现在,我正在编写一个grok过滤器规则,以将字段排除在外。
我在邮件正文中有一些URL,所以我例如使用%{URI:request}
来获取这些%{URI:request}
。 但是,这将创建一个名为port
的字段,该字段始终为null,并且我不想将很多空字段放入我的Elasticsearch DB中,所以我在研究如何摆脱看起来像这样的空数组: "port": [null, null, null]
。
如果要无条件删除字段,只需在grok
块中添加remove_field => ['port']
。
如果要有条件地删除某些内容,则可以使用ruby
过滤器在删除之前先检查字段中的内容,或者在mutate { remove_field => ['port'] }
过滤器周围使用if
。
声明:本站的技术帖子网页,遵循CC BY-SA 4.0协议,如果您需要转载,请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.