在這種使用情況下，如何在配置文件中使用正則表達式？

Question

我正在使用LogStash，它接受來自日志文件的數據，該日志文件具有不同類型的日志。

我嘗試了這個：

filter {
  grok {
    match => { "message" => "%{WORD:tag} %{WORD:message} %{WORD:value}
  }
}        

但這是行不通的。

Answer 1

我正在使用grok過濾器來檢查日志行是否為一種格式。

如果grok過濾器無法解析日志行（例如json行），則_grokparsefailure將添加到標簽中。 然后，您可以使用此標記來區分兩種日志類型。

filter { 
    grok {
        match => {
        "message"=> 
            "tag: %{GREEDYDATA:tag} message: %{GREEDYDATA:message} value: %{WORD:value}"
        }
    }

    if "_grokparsefailure" in [tags] {
        json {
            source => message
        }
    }
}

要測試您的grok模式， Grok構造函數是一個很好的工具。