时间戳 GROK 故障

Question

grok 时间戳模式的一些问题

2020-3-4 10:22:37 >> this will match with this pattern %{TIMESTAMP_ISO8601:my_time}

2020-3-4 0:2:37 >> this will fail with this pattern %{TIMESTAMP_ISO8601:my_time}

还尝试通过使用这个单独的模式来匹配模式，比如YEAR MONTH AND DAY但是当它到达时间%{HOUR}:%{MINUTE}:%{SECOND}时它会再次中断。 任何的想法 ？

Answer 1

问题在于如何在 logstash 中定义分钟模式： (?:[0-5][0-9]) 。 此模式需要一个两位数的分钟数，在您的第二种情况下会中断 ( 2020-3-4 0:2:37 )。

我已更改模式以接受一位数的分钟数： (?:[0-5][0-9]|[0-9])

然后，您可以使用此自定义模式：

(?<my_time>%{YEAR}-%{MONTHNUM}-%{MONTHDAY}[T ]%{HOUR}:?(?:[0-5][0-9]|[0-9])(?::?%{SECOND})?%{ISO8601_TIMEZONE}?)

这是TIMESTAMP_ISO8601与MINUTE替换为我的模式。