regex - 如何从 logstash 中删除事件？

Question

我的日志文件中有一行实际上只有一个分号。我假设它附加到上一行。 Logstash 不断打印它们，我想在有以 ; 开头的行时删除它们。

这是 logstash 打印的内容:

"message" => ";/r"
"@version" => "1"
"@timestamp" => 2014-06-24T15:39:00.655Z,"
"type" => "BCM_Core",
"host => XXXXXXXXXXX",
"Path => XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
"tags" => [
[0] "_grokparsefailureZ"
],
"BCM_UTC_TIME" =>"2014-06-24%{time}Z"

我尝试使用多行附加到上一行，这样 logstash 就会停止打印:

   multiline{
    type => "BCM_Core"
    pattern => "\;"
    negate => true
    what => "previous"
}

但 logstash 仍在打印它们。我怎样才能让 logstash 删除它？

Answer 1

只需使用删除过滤器删除任何以 ; 开头的行:

filter {
   if ([message] =~ "^;") {
      drop {}
  }
}

尽管根据您的输出，它实际上是 ;/r 而不是 ;\r，因此如果您的输出不仅仅是示例，您可能需要进行调整。

你也可以只删除任何无法理解的东西:

if "_grokparsefailure" in [tags] { drop {} }