grok

0热度

1回答

我是新来的正则表达式和使用logstack grok过滤器。我写我自己的正则表达式过滤此邮件 NAID-iOS-3093448A-BC34-4FE1-A057-29AD2CEF8FD3-1471410782.565937 IP-202.174.93.103 2016-08-17 00:13:09,963 我神交过滤器是 grok{ match => {"message" => "%{DA

-1热度

1回答

这个日志的GROK模式是什么？

任何人都可以告诉我这个日志的GROK模式我是Logstash的新手。任何帮助理解：“ppsweb1 [错误] [JJNb4319ad0536bf6324j34h5469624340M] [913h56a5-e359-4a75-be9a-fae60d1a5ecb] 2016年7月28日13：14：58.848 [HTTP-NIO-8080-EXEC -4- ] PaymentAction - 净

2热度

1回答

独立IPV4和IPV6使用正则表达式和神交解决

我试图建立一些日志文件来在神交模式我有一个日志信息的字段可以像以下两项： IP Address: (192.168.1.100), IP Address: (192.168.1.100, 2001:0db8:85a3:0000:0000:8a2e:0370:7334), 与第一例子打交道是非常简单的，我定义称为IP2一个新的IP模式逃脱出来的括号$(?:%{IP})$的和喜欢的东西最终会

0热度

3回答

Grok中的正则表达式有时会捕获值有时不是

我在Grok中有一个代码，它捕获消息，并且如果它们符合给定条件，它们会得到一个标记。我的问题是，有时候这个过滤器在测试时工作，有时候不会。有问题的正则表达式如下： ^(?!(?:\d\d\d\d-\d\d-\d\d.\d\d:\d\d:\d\d)).*$ 此行检查如果给定的消息不具有给定时间戳格式开始。换句话说：如果给定的消息不是以这个时间戳开始的，那么它会得到一个标签。你可以用这个在线应

0热度

1回答

Grok模式为以下log4j模式

如何构建以下log4j模式的grok模式？％d {YY/MM/DD hh：mm：ss的}％P％C {2}：％M％N

0热度

1回答

在使用grok解析时为空字段插入虚拟值logstash

我正在尝试解析日志并将其放入使用logstash的弹性搜索中。我的日志文件是在以下格式 [18-Aug-2016 02:28:46,537][ERROR][thread1][package.name] there is error in line 52 \[%{GREEDYDATA:date} %{GREEDYDATA:time}\]\[%{LOGLEVEL:log_type}\]\[%{G

1热度

1回答

（Logstash，神交）如果字段包含特定单词，然后保存一些字符从它

我有以下过滤器，其实现了我的大部分需求：过滤器{ grok { match => { "message" => [ "%{IPORHOST:clientip} - %{NGUSER:user} \[%{HTTPDATE:timestamp}\] (?:%{WORD:verb} %{NOTSPACE:request}(?: HTTP/%{NUMBER:httpversion})?|%{D

0热度

1回答

GROK第三场比赛

我是grok/logstash newbe，并且在我的消息中匹配第三组数字时遇到了问题。 “消息”=> “XYZ事件= 345序列= 55值= 75” 基本上我想是最后一组数字 '75' 我的过滤器：神交{匹配= > [“message”，“（？[0-9] +）”]} 返回345，我该如何指定3're匹配？

0热度

1回答

基于filebeat数据添加字段到logstash

所以，我有一个由filebeat设置的主机名（并且我写了一个应该抓住它的正则表达式），但下面不添加字段的方式是我认为它应该.. grok{ patterns_dir => "/config/patterns" match =>{ "beat.hostname" => ["%{INSTALLATION}-%{DOMAIN}-%{SERVICE}"] } add_fiel

0热度

1回答

Graylog不能将字段看作数字

我使用Graylog 2.10.0来收集日志。我设置了Grok模式来解析我的日志，并且一个字段是 %{NUMBER:consume_time;int}ms，它运行良好，我正确捕获了consume_time，但是当我尝试使用“统计”功能时，它只显示“Total”和“Cardinality”，其他字段标记为“NaN”。而且我还检查了ElasticSearch中的文档类型，它显示“consume_ti