時間戳 GROK 故障

Question

grok 時間戳模式的一些問題

2020-3-4 10:22:37 >> this will match with this pattern %{TIMESTAMP_ISO8601:my_time}

2020-3-4 0:2:37 >> this will fail with this pattern %{TIMESTAMP_ISO8601:my_time}

還嘗試通過使用這個單獨的模式來匹配模式，比如YEAR MONTH AND DAY但是當它到達時間%{HOUR}:%{MINUTE}:%{SECOND}時它會再次中斷。 任何的想法 ？

Answer 1

問題在於如何在 logstash 中定義分鍾模式： (?:[0-5][0-9]) 。 此模式需要一個兩位數的分鍾數，在您的第二種情況下會中斷 ( 2020-3-4 0:2:37 )。

我已更改模式以接受一位數的分鍾數： (?:[0-5][0-9]|[0-9])

然后，您可以使用此自定義模式：

(?<my_time>%{YEAR}-%{MONTHNUM}-%{MONTHDAY}[T ]%{HOUR}:?(?:[0-5][0-9]|[0-9])(?::?%{SECOND})?%{ISO8601_TIMEZONE}?)

這是TIMESTAMP_ISO8601與MINUTE替換為我的模式。