elasticsearch - 如何基于2个 token 之一将消息拆分为2个属性？

Question

我认为这是一个简单的案例，但是在实现它方面一直遇到问题。

我的输入消息的格式为:aaaaaaaaa;bbbbbbbbbb或aaaaaaa:bbbbbbb，我想做的是在冒号或分号上进行分割，然后将它们分配给键和值对。

我正在做2个变异，但是当我运行一些样本测试时却出错了。

mutate{
  split => {
    "message" => ":"
  }
  add_field => {
    "key" => "%{[message][0]}"
    "value" => "%{[message][1]}"
  }
}
mutate{
  split => {
    "message" => ";"
  }
  add_field => {
    "key" => "%{[message][0]}"
    "value" => "%{[message][1]}"
  }
}

但我认为那是不对的。然后，我一直在研究grok，但不确定那是如何工作的。

我应该改为:

filter {
  grok {
    match => { "message" => "%{key}:%{value}" }
  }
  grok {
    match => { "message" => "%{key};%{value}" }
  }
}

Answer 1

我会用grok做到这一点。试试这个:

grok { match => { "message" => "%{DATA:field1}[:;]%{GREEDYDATA:field2}" } }