Logstash grok解析错误解析日志文件

时间:2015-05-01 14:38:13

标签: parsing logstash grok

我正在尝试解析此日志格式:

http://localhost:8080/,200,OK,11382,date=Mon  27 Apr 2015 12:56:33 GMT;newheader=foo;connection=close;content-type=text/html;charset=ISO-8859-1;server=Apache-Coyote/1.1;

使用此配置文件:

input {
  stdin{}
}


filter {
  grok {
        match => [ "message" , "%{URI:uriaccessed},%{NUMBER:httpcode},%{WORD:httpcodeverb},%{NUMBER:bytes},date=%{TIMESTAMP_ISO8601:logtimestamp};%{GREEDYDATA:msg}"]   
  }
  mutate{
        convert => ["httpcode","integer"]
        convert => ["bytes","integer"]
  }


  date {
    locale => "en"
    match => [ "logtimestamp" , "EEE dd MMM yyy HH:mm:ss" ] #Mon  27 Apr 2015 12:56:33 GMT
  }
}


output {
  stdout { codec => rubydebug }
}

但是,我的格言失败了,我不知道问题是什么。 似乎无法确定导致问题的模式。 任何想法/意见将不胜感激。

2 个答案:

答案 0 :(得分:3)

TIMESTAMP_ISO8601匹配:

%{YEAR}-%{MONTHNUM}-%{MONTHDAY}[T ]%{HOUR}:?%{MINUTE}(?::?%{SECOND})?%{ISO8601_TIMEZONE}?

并且您的日期不是那种格式。似乎没有适合您的预定义模式,所以这里有一个可行的模式:

%{DAY} +%{MONTHDAY} %{MONTH} %{YEAR} +%{TIME} %{WORD}

请注意,%{TZ}不喜欢GMT,因此我使用%{WORD}。

祝你好运。

答案 1 :(得分:1)

日志示例中的时间戳与TIMESTAMP_ISO8601模式不匹配。你可以尝试其他模式,但我怀疑" Mon"之间的双重空间。和" 27"将是一个问题,我不会看到" GMT"匹配TZ模式。您可以尝试使用TZORGMT条目添加自己的模式文件,然后在匹配中使用它:

TZORGMT (?:[PMCE][SD]T|UTC|GMT)
%{URI:uriaccessed},%{NUMBER:httpcode},%{WORD:httpcodeverb},%{NUMBER:bytes},date=%{DAY}  %{MONTHDAY} %{MONTH} %{YEAR} %{TIME} %{TZORGMT}

https://grokdebug.herokuapp.com/处的grok调试器有助于调试这样的事情。

如果您要去约会{匹配},那么您需要为此编写一个模式,例如:

"dd MM YYYY HH:mm:ss ZZ"