Question

两件事：我们的日志看起来像这样 -

May 11 06:51:31 ldap slapd[6694]: conn=1574001 op=1 SRCH base="cn=s_02,ou=users,o=meta" scope=0 deref=0 filter="(...)"

我需要1）拿出时间戳并将其设置在左栏＃34;时间＆＃34;在Kibana的发现面板中，2）在连接后取数字并将其作为一个字段，以便能够按编号对它们进行排序。我花了一整天的时间研究和约会，变异似乎很有希望，但我还没有能够正确地实现它们。

配置文件如下所示：

input {
   file {
      path => "/Desktop/logs/*.log"
      type => "log"
      sincedb_path => "/dev/null"
   }
}

output {

  elasticsearch {
    hosts => "127.0.0.1"
    index => "logstash-%{type}-%{+YYYY.MM.dd}"
  }

  file {
    path => "/home/logsOut/%{type}.%{+yyyy.MM.dd.HH.mm}"
  }
}

Answer 1

如果你只需要这两个字段：

filter {
    grok {
        match => { 
            "message" => [ "%{SYSLOGBASE} conn=%{INT:conn}" ]
        }
    }

    date {
        match => [ "timestamp", "MMM dd HH:mm:ss" ]
        target => "time"
    }

    mutate {
        convert => { "conn" => "integer" }
    }
}

ELK LDAP日志过滤

1 个答案: