自定義日志文本文件的Logstash grok模式

Question

我是Logstash的新手，我正在嘗試為文本類型的日志文件創建grok模式。 登錄文件的數據如下：

Timestamp: 24-03-2016 19:59:11
Message: Received request to get data
Title:GetData()
Machine: LTPN
----------------------------------------
Timestamp: 24-03-2016 20:15:34
Message: ERROR [08001] [Microsoft][ODBC SQL Server Driver][DBNETLIB]SQL Server does not exist or access denied.
ERROR [01000] [Microsoft][ODBC SQL Server Driver][DBNETLIB]ConnectionOpen (Connect()).
ERROR [01S00] [Microsoft][ODBC SQL Server Driver]Invalid connection string attribute
Title:GetData() 
Machine: LTPN
----------------------------------------

我想以一種方式填充它，使其填充以下字段：

Timestamp = 24-03-2016 20:15:34
Messsage = ERROR [08001] [Microsoft][ODBC SQL Server Driver][DBNETLIB]SQL Server does not exist or access denied.
ERROR [01000] [Microsoft][ODBC SQL Server Driver][DBNETLIB]ConnectionOpen (Connect()).
ERROR [01S00] [Microsoft][ODBC SQL Server Driver]Invalid connection string attribute
Title = GetData()
Machine = LTPN

有人可以幫我創建圖案嗎？

Answer 1

第一步是將多行消息合並為一個logstash事件。 根據數據到達logstash的方式，您也許可以在那端這樣做（filebeat支持多行）。 如果不是，請簽出多行編解碼器。

合並所有行之后，便可以使用grok {}過濾器來應用將創建所需字段的正則表達式。