filter - Logstash Grok筛选器Apache访问日志

Question

我一直到处乱逛，但找不到有效的解决方案。我尝试在Logstash配置文件中使用Grok Filter来过滤Apache-Access日志文件。日志消息如下所示:{"message":"00.00.0.000 - - [dd/mm/YYYY:hh:mm:ii +0000] \"GET /index.html HTTP/1.1\" 200 00"}.
此时，我只能使用grok { match => [ "message", "%{IP:client_ip}" ] }过滤客户端ip。

我想过滤:

- The GET method, 
- requested page (index.html), 
- HTTP/1.1\, 
- server response 200
- the last number 00 after 200 inside the message body

请注意，这些都不适合我:

grok { match => { "message" => "%{COMBINEDAPACHELOG}" } } 

或者

grok { match => [ "message", "%{COMBINEDAPACHELOG}" ] }

Answer 1

使用Grok Debugger可以完全匹配您的日志格式。这是唯一的方法。

http://grokdebug.herokuapp.com/