Logstash过滤器用于自定义消息

Question

我正在尝试在Logstash中解析一堆字符串，并将输出设置为ElasticSearch。

示例输入字符串为： 2016 May 24 10:20:15 User1 CREATE“创建新文件夹”

grok过滤器为：

match => {“消息” =>“％{SYSLOGTIMESTAMP：timestamp}％{WORD：user}％{WORD：action_performed}％{WORD：action_description}”}

在Elasticsearch中，我无法看到不同字段的单独列，例如timstamp，user，action_performed等。

相反，整个字符串位于单个列“ message”下。

我想将信息存储在单独的字段中，而不是仅一列。

不确定在logstash过滤器中要实现什么更改。

谢谢！

Answer 1

您需要以此来更改您的grok模式，即使用QUOTEDSTRING而不是WORD ，它将起作用！

match => { "message" => "%{SYSLOGTIMESTAMP:timestamp} %{WORD:user} %{WORD:action_performed} %{QUOTEDSTRING:action_description}"}