elasticsearch - 发送到Elasticsearch之前，向字段添加额外的值

Question

我正在使用logstash，filebeat和grok将数据从日志发送到我的elastisearch实例。这是管道中的grok配置

filter {
    grok {
        match => {
            "message" => "%{SYSLOGTIMESTAMP:messageDate} %{GREEDYDATA:messagge}"
        }
    }
}

效果很好，问题在于 messageDate的格式为 Jan 15 11:18:25，并且没有年份。
现在，我实际上知道这些文件的创建年份，并且我想知道是否可以在此过程中将值添加到字段中，也就是说，在以某种方式将 Jan 15 11:18:25转换为 2016 Jan 15 11:18:25之前，将其发送到elasticsearch(显然无需编辑文件，我可以轻松完成的工作，但这将是我必须做的临时修复，而不是确定的解决方案)

我尝试过谷歌搜索(如果可能)，但是没有运气。

Answer 1

瓦雷普

修改字段中数据的唯一方法是使用ruby过滤器:

filter {
  ruby {

    code => "#your code here#"
  }
}

有关更多信息，如...如何获取，设置字段值，这里是链接:

https://www.elastic.co/guide/en/logstash/current/plugins-filters-ruby.html