logstash - 用管道分隔数据的Grok模式

Question

我有一个日志文件，其中的数据由管道符号分隔。 “|”。下面是一个示例。有谁知道如何编写GROK模式以将其提取为logstash？

2014-01-07 11:58:48.7694 | LOGLEVEL | LOGSOURCE | LOGMESSAGE

Answer 1

您可以使用gsub API更改管道“|”并使用GROK提取它。
例如:

filter {
    grok {
            match => ["message","%{DATESTAMP:time}\|%{WORD:LOGLEVEL}\|%{WORD:LOGSOURCE}\|%{WORD:LOGMESSAGE}"]
    }
}

上面的配置适用于您的日志。希望这可以帮到你。