如何使用自定義Logstash grok模式？

Question

我在Debian 9上使用Logstash，我想使用自定義的grok模式。 所以我將它們添加到目錄/usr/share/logstash/vendor/bundle/jruby/2.3.0/gems/logstash-patterns-core-4.1.2/patterns創建了新文件並修改了現有文件（grok-patterns ，身份驗證等）。

問題是我對原始文件的更改被覆蓋並丟失（在2018年1月26日上午02:35）。

是否有一些logstash-patterns-core自動更新？ 我該如何更改現有的grok模式？

Answer 1

不幸的是，修改文件的目錄結構是二進制文件。 您完全不需要修改任何文件即可添加自定義模式。 請在此處查看Logstash目錄的布局 。

您可以在/etc/logstash下創建一個新目錄，而不是在二進制路徑下修改或添加文件，將其稱為pattern並在其中添加自定義模式。

然后，您可以按以下方式導入自定義模式，

filter {
    grok {
        patterns_dir => "../patterns"
        match =>["message", "%{ANYPATTERN}" ]
    }
}