Значения поля ввода в Logstash

Question

У меня есть набор фильтров Logstash, который задает поле Alert_level целому числу, основанному на регулярном выражении, соответствующем сообщению.

Пример:

if [message] =~ /(?i)foo/ {mutate {add_field => { "Alert_level" => "3" }}} 
if [message] =~ /(?i)bar/ {mutate {add_field => { "Alert_level" => "2" }}} 

Эти случаи не являются взаимоисключающими, и иногда приводят к событиям с 2 или более значений в Alert_level:

message => "foobar" 
Alert_level => "2, 3" 

Я хочу, чтобы сложить значения в Alert_level для полное целое число, где приведенный выше пример приведет к следующему:

message => "foobar" 
Alert_level => "5" 

Answer 1

Как я понял ваш вопрос, вам нужен оператор И в вашем если проверить оба условие:

if "foobar" in [message] and "5" in [Alert_level]{ 
    //do something 
} 

Answer 2

Там нет математики в самой logstash, но мне нравится идея тега darth_vader (если ваш уровень попадают только один раз).

Вы можете установить тег для уровней оповещения, например. «alert_3», «alert_4» и т. д., а затем перейдите в фильтр ruby, чтобы пересечь их, разделите числовое значение и добавьте их вместе в новое поле. (Использование дозорного префикса, такого как «alert_», не позволит вам добавить «_grokparsefailure» или другой тег без предупреждения).

Есть и другие примеры для SO для циклического пересечения полей в рубине.