Logstash 自定义日期日志格式匹配

Question

我有一个打印日期格式的日志，如下所示:

=          Build Stamp: 10:45:33 On Apr  4 2014           =

所以我已经在 grok 调试器上运行了过滤器，但仍然不知道如何删除单词 On

grok {
patterns_dir => "./patterns"
match => { "message" => "%{F_TIMESTAMP:timestamp}" }
}

date {
match => [ "timestamp" , "HH:mm:ss MMM  d yyyy" , "HH:mm:ss MMM  dd yyyy" ]
locale => "en"
}

模式文件，

F_TIMESTAMP %{TIME} \On %{MONTH} +%{MONTHDAY} %{YEAR}

我当前的时间戳输出是

10:45:33 2014 年 4 月 4 日，在 grok 调试器上。

那么我怎样才能使其与logstash @timestamp兼容/匹配？

Answer 1

您可以提取日期时间的每个部分并将其合并到另一个字段中，而无需使用 On 关键字。

您可以实现以下目标:

filter {
    grok {         
        match => { "message" => "%{F_TIMESTAMP}" }
    }
    mutate {
        add_field => { 
            "timestamp" => "%{time} %{month} %{monthday} %{year}"
        }
    }
    date {
        match => [ "timestamp" , "HH:mm:ss MMM d yyyy" , "HH:mm:ss MMM dd yyyy" ]
        locale => "en"
    }
    mutate {
        remove_field => [ "time" ,"month","monthday","year","timestamp"]
    }
}

F_TIMESTAMP %{TIME:时间}\s*在\s*%{MONTH:月}\s*%{MONTHDAY:月日}\s*%{YEAR:年}

它对我来说工作得很好。