具有不同事件分隔符的logstash多行的哪种grok模式

Question

我有一个日志文件（zope / plone event.log），该日志文件使用自定义字符串（例如“ -----”）作为事件之间的分隔符，用于将此日志文件解析为logstash的grok模式应该如何？

这是一个示例，日志如下所示：

------
2014-07-21T12:13:30 INFO ZServer HTTP server started at Mon Jul 21 12:13:30 2014
        Hostname: localhost
        Port: 8401
------
2014-07-21T12:13:44 WARNING SecurityInfo Conflicting security declarations for "setText"
------
2014-07-21T12:13:44 WARNING SecurityInfo Class "ATTopic" had conflicting security declarations
------
2014-07-21T12:13:47 INFO DocFinderTab Applied patch version 1.0.5.

Answer 1

您应该从多行编解码器或过滤器开始创建一个要处理的事件。

编辑：

该文档给出了以下示例：

filter {
  multiline {
    pattern => "pattern, a regexp"
    negate => boolean
    what => "previous" or "next"
  }
}

并描述“求反”和“做什么”。 希望“模式”有意义。

那么，“每个不以日期开头的行都属于前一行”呢？ 可能是这样的：

filter {
  multiline {
    negate => 'true'
    pattern => "^%{TIMESTAMP_ISO8601} "
    what => 'previous'
  }
}

每行末尾都带有“ ----”。 由于不需要它们作为定界符，因此可以摆脱它们（在多行过滤器节之前）：

if message =~ /^-+$/ {
    drop{}
}