elasticsearch - 更改已过或汇总过滤器创建的事件的日期

Question

当将new_event_on_match与经过的过滤器一起使用时，将创建一个新事件，并带有新的时间戳。聚合过滤器还会添加带有新时间戳的新事件。

我想使用原始事件的时间戳，现在可以在elapsed_timestamp_start字段中使用。如何在新创建的事件中替换@timestamp？

我可以在Date过滤器内使用Elapsed过滤器吗？

Answer 1

首先，请注意，只有elapsed过滤器会创建一个新事件，而aggregate过滤器不会创建新事件，并将到目前为止已聚合的所有信息推送到最后一个事件中。

为了提供一些上下文，您所指的上一个问题是this one。

只需在最后一个date过滤器之后添加elapsed过滤器，即可修改所需的内容，以修改上游elapsed过滤器新创建的事件。还要注意，我们首先需要将elapsed_timestamp_start字段转换为字符串，然后再尝试匹配日期，因为它是Logstash时间戳对象(由elapsed过滤器创建)

  if "elapsed" in [tags] {
    mutate {
      convert => {"elapsed_timestamp_start" => "string"}
    }
    date {
      match => ["elapsed_timestamp_start", "ISO8601"]
    }
  }