自定义日志文本文件的Logstash grok模式

Question

我是Logstash的新手，我正在尝试为文本类型的日志文件创建grok模式。 登录文件的数据如下：

Timestamp: 24-03-2016 19:59:11
Message: Received request to get data
Title:GetData()
Machine: LTPN
----------------------------------------
Timestamp: 24-03-2016 20:15:34
Message: ERROR [08001] [Microsoft][ODBC SQL Server Driver][DBNETLIB]SQL Server does not exist or access denied.
ERROR [01000] [Microsoft][ODBC SQL Server Driver][DBNETLIB]ConnectionOpen (Connect()).
ERROR [01S00] [Microsoft][ODBC SQL Server Driver]Invalid connection string attribute
Title:GetData() 
Machine: LTPN
----------------------------------------

我想以一种方式填充它，使其填充以下字段：

Timestamp = 24-03-2016 20:15:34
Messsage = ERROR [08001] [Microsoft][ODBC SQL Server Driver][DBNETLIB]SQL Server does not exist or access denied.
ERROR [01000] [Microsoft][ODBC SQL Server Driver][DBNETLIB]ConnectionOpen (Connect()).
ERROR [01S00] [Microsoft][ODBC SQL Server Driver]Invalid connection string attribute
Title = GetData()
Machine = LTPN

有人可以帮我创建图案吗？

Answer 1

第一步是将多行消息合并为一个logstash事件。 根据数据到达logstash的方式，您也许可以在那端这样做（filebeat支持多行）。 如果不是，请签出多行编解码器。

合并所有行之后，便可以使用grok {}过滤器来应用将创建所需字段的正则表达式。