tomcat - tomcat 日志的 Grok 模式在 Grok Debugger 上给出编译错误

Question

我正在尝试为 Java 应用程序设置 ELK。 tomcat 日志是使用 log4j 生成的。要编写测试模式，我使用 Grok Debugger .但是在调试器上它总是显示

Compile ERROR

我的日志示例:

YYYY-MM-DD HH:MM:SS,SSS INFO : [so-me-uni-que-id] com.xx.xx.xx.xx.xx - log message here

我的 grok 过滤器:

filter {   if [type] == "tomcat" {     grok {       match => { "message" => "%{TOMCATLOG}" }     }     date {       match => [ "timestamp", "yyyy-MM-dd HH:mm:ss,SSS" ]     } } }

我的模式:

TOMCATLOG %{TOMCAT_DATESTAMP:timestamp} \| %{LOGLEVEL:level} \| %{UNIQUEID:uniqueid}\| %{JAVACLASS:class} - %{JAVALOGMESSAGE:logmessage}

Answer 1

基本问题是您的模式与您的输入不匹配。看开头:

YYYY-MM-DD HH:MM:SS,SSS INFO : [so-me-uni-que-id]

%{TOMCAT_DATESTAMP:timestamp} \| %{LOGLEVEL:level} \| %{UNIQUEID:uniqueid}\|

您的模式有转义管道(“|”)，但输入没有使用它们。

我也没有看到 TOMCAT_DATESTAMP 处于默认模式，但它可能被埋在某处。

从左侧开始，在调试器中一次匹配一件。

%{TIMESTAMP_ISO8601} %{WORD:level} : \[%{GREEDYDATA:uniqueid}\]

然后继续努力，把更多的东西抓到你的模式中。请注意，文字(“:”和转义的“[”)成为您的模式的一部分。

祝你好运!