如何覆蓋Kibana中的字段值？

Question

我正在使用Logstash將數據提供給Elasticsearch，然后使用Kibana分析該數據。 我有一個包含數字標識符的字段。 這些都不容易閱讀。 如何讓Kibana覆蓋或顯示更具人性化的價值？

更具體地說，我有一個'ip.proto'字段。 當此字段包含6時，它應顯示為“TCP”。 當此字段包含7時，它應顯示為“UDP”。

我不確定我需要修改ELK堆棧中的哪個工具來實現這一點。

謝謝

Answer 1

您可以使用條件和mutate過濾器 ：

filter {
  if [ip][proto] == "6" {
    mutate {
      replace => ["[ip][proto]", "TCP"]
    }
  } else if [ip][proto] == "7" {
    mutate {
      replace => ["[ip][proto]", "UDP"]
    }
  }
}

這很快變得笨拙，而且翻譯過濾器更優雅（並且可能更快）。 未經測試的例子：

filter {
  translate {
    field => "[ip][proto]"
    dictionary => {
      "6" => "TCP"
      "7" => "UDP"
    }
  }
}