如何使用自定义Logstash grok模式？

Question

我在Debian 9上使用Logstash，我想使用自定义的grok模式。 所以我将它们添加到目录/usr/share/logstash/vendor/bundle/jruby/2.3.0/gems/logstash-patterns-core-4.1.2/patterns创建了新文件并修改了现有文件（grok-patterns ，身份验证等）。

问题是我对原始文件的更改被覆盖并丢失（在2018年1月26日上午02:35）。

是否有一些logstash-patterns-core自动更新？ 我该如何更改现有的grok模式？

Answer 1

不幸的是，修改文件的目录结构是二进制文件。 您完全不需要修改任何文件即可添加自定义模式。 请在此处查看Logstash目录的布局 。

您可以在/etc/logstash下创建一个新目录，而不是在二进制路径下修改或添加文件，将其称为pattern并在其中添加自定义模式。

然后，您可以按以下方式导入自定义模式，

filter {
    grok {
        patterns_dir => "../patterns"
        match =>["message", "%{ANYPATTERN}" ]
    }
}