logging - 在ELK中结合日志和查询

Question

使用ELK(Elasticsearch-Logstash-Kibana)堆栈，我从* nix框中收集syslog日志到Logstash，然后通过Elasticsearch将其发送到Kibana。这是经典的一种情况。

我的系统日志包括正常的系统事件，鱿鱼访问日志，强制登录日志等。
俘虏门户登录为

1423548430 2582 192.168.1.23 xx:ae:xx:e1:xx:99 mike.brown cc9aeb1210b39571 MTI= first

和

鱿鱼访问日志记录为:

1423562965.228    482 192.168.1.23 TCP_MISS/200 1254 POST http://ad4.liverail.com/? - DIRECT/31.13.93.12 text/xml

在Logstash中，我过滤了强制门户日志，并且得到了 client_ip="192.168.1.23"， user_name="mike.brown"，并且在Logstash配置中的其他过滤器中，我还过滤了鱿鱼访问日志，并且得到了 src_ip="192.168.1.23"。

我的问题是:我如何查询以获取用户名，其中鱿鱼访问日志的client_ip等于在Kibana中的强制门户的src_ip？

Answer 1

您不能在elasticsearch中加入联接。他们讨论了关系in this doc的一些选项。