匹配带有前缀和后缀的字符串使用Logstash grok模式

Question

我有一个ELK群集可将日志保存在下面，并且我想使用logstash grok提取日志中的某些字段。

[info ][170703 10:34:38.998686/832]acct ok,deal_time=122ms;ACCESS_PORT=216179383538692472&ACCESS_TYPE=2&ACCOUNT=07592111916&Acct-Status-Type=3;

这是我的骗子模式。

%{SYSLOG5424SD}\[%{DATA:[@metadata][timestamp]}\/%{NUMBER}\]%{WORD:type}\ %{WORD:status}\,%{GREEDYDATA}%{NUMBER:dealtime}ms\;%{GREEDYDATA}(?<acct>(?<=ACCOUNT=).*)

我想提取某些字段的值并将其提供给事件变量。 例如。 帐户= 07592111916

我使用（？（？<= ACCOUNT =）。*＆$）提取值，但不起作用，我的问题在哪里？

我调试此站点中的代码。 http://grokdebug.herokuapp.com

Answer 1

我认为您需要这样提取：

(?<acct>(?<=ACCOUNT=)[^&]+)