取出字段的第一行並將其添加為Logstash 1.4.0中的新字段

Question

我已經配置了我的ELK堆棧並使用log4j運行，一切正常。 我希望能夠做的是按類型對所有異常進行分組，例如 - 創建一個術語圖並為每個異常類型設置一個術語，如FileNotFound，NullPointerException等。 我已經有一個stack_trace字段，它包含第一行的異常類型，然后是完整的堆棧跟蹤。 我在網上發現了這樣的東西：

filter{
  mutate {
    gsub => [
      "stack_trace", "\n.*", ""
    ]
  }
}

但這只會用它的第一行覆蓋stack_trace字段，這不是我想要的。 我想添加一個新字段，它取出stack_trace字段的第一行，即異常類型。

Answer 1

復制堆棧跟蹤字段並在其上執行gsub

filter{
  mutate {
    add_field => { 
      "exception" => "%{stack_trace}" 
    }
  }
  mutate {
    gsub => [
      "exception", "\n.*", ""
    ]
  }
}

編輯：感謝@Alpha指出這個問題 ，你可能需要使用兩個單獨的變異。