Logstash＆gt;跳过grokked比赛

Question

这是apache access_log的logstash配置：

input {
  file {
    path => "/var/log/http.log"
  }
}
filter {
  grok {
    match => { "message" => "%{IP:client} %{WORD:method} %{URIPATHPARAM:request} %{NUMBER:bytes} %{NUMBER:duration}" }
  }
}

除了％{WORD：method}

之外，我想收集所有字段

如何在转移到ElasticSearch时跳过/忽略该字段？

Answer 1

你可以通过删除＆＃34;方法＆＃34;在WORD之后出现。所以你的grok过滤器看起来像：

 match => { "message" => "%{IP:client} %{WORD} %{URIPATHPARAM:request} %{NUMBER:bytes} %{NUMBER:duration}" }
  }

冒号后面出现的单词是变量名，其中存储和传递IP，WORD，NUMBER等类型。

Answer 2

你应该在你的grok过滤器上使用Mutate块。

https://github.com/ngReact/ngReact