找出实际使用的Grok过滤规则

Question

我有Logstash / Grok过滤规则解析的日志数据。遗憾的是，我的日志消息的结构并没有完整记录，导致大约1000个过滤规则。这使得解析过程对于我们的目的来说太慢了。但是，我怀疑只使用很少的规则就可以解析绝大部分数据。

• 如何找出经常使用的规则？
• 或者我至少可以找出是否完全没有使用任何规则？

Answer 1

如果您愿意去那里，可以在grok-filters中添加add_tag => [ 'filter42' ]。它会让你弄清楚哪些过滤器正在工作，有多少过滤器，并给你提示哪些过滤器什么都不做。