logstash grok過濾器忽略消息的某些部分

Question

我有一個drupal看門狗日志文件，該文件以syslog東西（例如timestamp等）開頭，然后有一個管道分隔的我登錄看門狗的東西。 現在，我正在編寫一個grok過濾器規則，以將字段排除在外。

我在郵件正文中有一些URL，所以我例如使用%{URI:request}來獲取這些%{URI:request} 。 但是，這將創建一個名為port的字段，該字段始終為null，並且我不想將很多空字段放入我的Elasticsearch DB中，所以我在研究如何擺脫看起來像這樣的空數組： "port": [null, null, null] 。

Answer 1

如果要無條件刪除字段，只需在grok塊中添加remove_field => ['port'] 。

如果要有條件地刪除某些內容，則可以使用ruby過濾器在刪除之前先檢查字段中的內容，或者在mutate { remove_field => ['port'] }過濾器周圍使用if 。