匹配帶有前綴和后綴的字符串使用Logstash grok模式

Question

我有一個ELK群集可將日志保存在下面，並且我想使用logstash grok提取日志中的某些字段。

[info ][170703 10:34:38.998686/832]acct ok,deal_time=122ms;ACCESS_PORT=216179383538692472&ACCESS_TYPE=2&ACCOUNT=07592111916&Acct-Status-Type=3;

這是我的騙子模式。

%{SYSLOG5424SD}\[%{DATA:[@metadata][timestamp]}\/%{NUMBER}\]%{WORD:type}\ %{WORD:status}\,%{GREEDYDATA}%{NUMBER:dealtime}ms\;%{GREEDYDATA}(?<acct>(?<=ACCOUNT=).*)

我想提取某些字段的值並將其提供給事件變量。 例如。 帳戶= 07592111916

我使用（？（？<= ACCOUNT =）。*＆$）提取值，但不起作用，我的問題在哪里？

我調試此站點中的代碼。 http://grokdebug.herokuapp.com

Answer 1

我認為您需要這樣提取：

(?<acct>(?<=ACCOUNT=)[^&]+)