Как я могу синхронизировать время журнала в logstash или kibana

Question

У меня есть два журнала из разных источников, которые я втягиваю в elasticsearch через logstash, а затем визуализирую с помощью kibana. Моя проблема заключается в том, что время начала каждого журнала должно быть одинаковым, но один из журналов записывает записи неправильно на 30 минут вперед.

Как исправить ошибку на этот раз, есть ли фильтр статистики, который может вычесть 30 минут с того времени или я могу добавить некоторый расширенный запрос в Kibana?

Я предпочитаю обновлять записи журнала в logstash.

Answer 1

В идеале, вы можете исправить свои журналы, чтобы в файл были указаны правильные времена. Если ваша проблема заключается в данных, ее легче исправить, вместо того, чтобы бороться с дополнительными правилами вниз по течению.

Но вы можете манипулировать меткой времени Logstash, если вам нужно.

Поле @timestamp на каждом мероприятии имеет много общего с классом Ruby's Time. В частности, она реализует те же + и - операторов, которые позволяют добавлять или вычитать некоторое количество секунд:

filter { 
    ruby { 
     code => " 
       event['@timestamp'] = LogStash::Timestamp.new(event['@timestamp'] + (30 * 60)) 
     " 
    } 
}