elasticsearch - 解析logstash中的日期字段以进行 Elasticsearch

Question

我试图将日志文件从IIS解析到ELK堆栈(Logstash:2.3，Elastic:2.3和Kibana:4.5，CentOS 7 vm)。

我试图使用我的logstash配置中的以下日期过滤器将日志消息中的日期字段解析为事件时间戳:

date {
    match => ["date_timestamp", "yyyy-MM-dd HH:mm:ss"]
    timezone => "Europe/London"
    locale => "en"
    target => "@timestamp"
} 

解析到Elastic Search的整个日志消息的前几个字符是:

"message": "2016-03-01 03:30:49  .........

上面的日期字段被解析为“ Elasticsearch ”:

"date_timestamp": "16-03-01 03:30:49",

但是，使用上述日期过滤器解析为Elastic Search的事件时间戳为:

"@timestamp": "0016-03-01T03:32:04.000Z",

我希望@timestamp恰好是2016-03-01T03:30:49，因为我无法立即弄清楚为什么小时和分钟之间会有差异。

我看过类似的问题和文档，例如 this one on SO以及关于 logstash documentation和 logstash documentation.的文档

朝正确方向的任何指针将不胜感激。

问候

所以

Answer 1

在date_timestamp中，年份只有2个字符:“ 16 -03-01 03:30:49”，因此date过滤器中的日期格式不正确，应为:

date {
    match => ["date_timestamp", "yy-MM-dd HH:mm:ss"]
    timezone => "Europe/London"
    locale => "en"
    target => "@timestamp"
}