logstash - GROK 中的日志级别模式

Question

我是 logstash 和 grok 的新手，对模式有疑问。我正在尝试为我的 apache 错误日志创建一个 grok 模式。但是我对以下行为有点困惑。

如果我在 http://grokdebug.herokuapp.com/ 中使用底层匹配:

%{LOGLEVEL:severity%{IPV4:clientip}%{GREEDYDATA:errormsg}

我在以下日志片段中得到了不匹配:

[Sun Apr 10 09:28:01 2016] [error] [client 111.11.111.111] File does not exist: /var/www/html/favicon.ico

现在，如果我单独运行 %{LOGLEVEL:severity} 或 %{IPV4:clientip}%{GREEDYDATA:errormsg}，所有模式都可以工作。但如果我一起尝试，我会得到“不匹配”的返回。

我认为这是因为 %{LOGLEVEL:severity} 截断了日志的其余部分，但我不知道为什么。

有人对我做错了什么有任何建议吗？

提前谢谢你。

Answer 1

与所有 unanchored 正则表达式一样，一旦开始匹配，就需要匹配字符串中的所有内容。在您的模式中，您没有考虑样本中存在的空格或括号。 (这还假设在“严重性”之后缺少 } 是复制和粘贴错误)。