在logstash中的GROK自定义模式过滤器

Question

如何在logstash中创建grok自定义模式过滤器？ 我想为http响应状态代码创建一个模式 这是我的模式代码

STATUS_CODE __ %{NONNEGINT} __

我真正希望做的是让我的所有网络服务器都点击用户IP并请求http标头和有效负载以及网络服务器的响应。

这是我的logstash.conf

input {

    file {
      type => "kpi-success"
      path => "/var/log/kpi_success.log"
      start_position => beginning
    }
}

filter {

  if [type] == "kpi-success" {

     grok {
        patterns_dir => ["./patterns"]
        match => { "message" => "%{TIMESTAMP_ISO8601:timestamp} %{GREEDYDATA:message} "}
     }

     multiline {
            pattern => "^\["
            what => "previous"
            negate => true
     }

     mutate{
          add_field => {
                "statusCode" => "[STATUS_CODE]"
              }
     }
  }
}

output {

    if [type] == "kpi-success" {
        elasticsearch {
            hosts => "elasticsearch:9200"
            index => "kpi-success-%{+YYYY.MM.dd}"
        }
    }
}

Answer 1

您不必使用自定义模式文件，您可以直接在过滤器中定义新文件。

grok {
   match => { "message" => "(?<STATUS_CODE>__ %{NONNEGINT} __)"}
}