如何過濾 Logstash Grok 的字段值

Question

我正在設置 Logstash 以將 NGINX 日志條目發送到 Elasticsearch。 我目前設置了以下 Grok 模式來匹配條目：

%{IPORHOST:remoteAddr} (?:-|(%{WORD}.%{WORD})) %{USER:ident} \[%{HTTPDATE:timestamp}\] \"(?:%{WORD:method} %{NOTSPACE:request}(?: HTTP/%{NUMBER:httpversion})?|%{DATA:rawrequest})\" %{NUMBER:status} (?:%{NUMBER:bytes}|-) %{QS:referrer} %{QS:agent} %{QS:forwarder}

在這種情況下，方法字段是可選的。

我試圖找出一種方法來忽略存在方法且值等於字符串HEAD的日志條目。

有沒有辦法做到這一點，或者我是 SOL？

Answer 1

如果 [method] 字段具有該值，則使用條件並刪除事件：

if [method] == "HEAD" { drop {} }

如果沒有 [method] 字段，則字符串比較將返回 false 並且不會刪除事件。