Как использовать регулярное выражение для файлов конфигурации в этом случае?

Question

Я использую LogStash, который принимает данные из файла журнала, который имеет разные типы журналов.

Я попытался это:

filter { 
    grok { 
    match => { "message" => "%{WORD:tag} %{WORD:message} %{WORD:value} 
    } 
}   

Но это не работает.

Answer 1

Я использую фильтр grok, чтобы проверить, имеет ли строка журнала один формат.

Если фильтр grok не может проанализировать строку журнала (например, с линиями json), _grokparsefailure будет добавлен в теги. Затем вы можете использовать этот тег, чтобы различать два типа журнала.

filter { 
    grok { 
     match => { 
     "message"=> 
      "tag: %{GREEDYDATA:tag} message: %{GREEDYDATA:message} value: %{WORD:value}" 
     } 
    } 

    if "_grokparsefailure" in [tags] { 
     json { 
      source => message 
     } 
    } 
} 

Чтобы проверить шаблон ГРОК, Grok Constructor является хорошим инструментом.