ELK LDAP日志過濾

Question

兩件事：我們的日志如下所示-

May 11 06:51:31 ldap slapd[6694]: conn=1574001 op=1 SRCH base="cn=s_02,ou=users,o=meta" scope=0 deref=0 filter="(...)"

我需要1）獲取時間戳並將其設置在Kibana的發現面板中的左列“時間”中，以及2）連接后獲取數字並將其設置為一個字段，以便能夠按數字對其進行排序。 我花了一整天的時間進行研究，並且日期和變異似乎很有前途，但我無法正確實現它們。

配置文件如下所示：

 input { file { path => "/Desktop/logs/*.log" type => "log" sincedb_path => "/dev/null" } } output { elasticsearch { hosts => "127.0.0.1" index => "logstash-%{type}-%{+YYYY.MM.dd}" } file { path => "/home/logsOut/%{type}.%{+yyyy.MM.dd.HH.mm}" } } 

Answer 1

如果只需要將這兩個字段作為單獨的字段：

filter {
    grok {
        match => { 
            "message" => [ "%{SYSLOGBASE} conn=%{INT:conn}" ]
        }
    }

    date {
        match => [ "timestamp", "MMM dd HH:mm:ss" ]
        target => "time"
    }

    mutate {
        convert => { "conn" => "integer" }
    }
}