Question

你好，任何人都可以帮我写这个json的grok模式。

{  
   "loggerFqcn":"org.apache.commons.logging.impl.SLF4JLocationAwareLog",
   "level":"INFO",
   "endOfBatch":true,
   "thread":"[cridtest].HTTP_Listener_Configuration.worker.01",
   "message":"[[Application = CorrelationID PoC]  [serverTime=2017-10-20T11:43:06.932-04:00] [CorrelationID = 5dec5af0-b5ad-11e7-b80d-f8597191971c] ]",
   "threadPriority":5,
   "threadId":88,
   "@timestamp":"2017-10-20T15:43:07.143Z",
   "port":60797,
   "@version":"1",
   "host":"73.132.64.252",
   "loggerName":"org.mule.api.processor.LoggerMessageProcessor",
   "timeMillis":1508514186945
}

Answer 1

如果JSON实际上已经形成良好，那么使用json {}过滤器来解析它会更好。假设进入message字段：

filter {
  json {
    source => "message"
    target => "json_data"
  }
}

这会将解析后的数据结构转储为json_data字段下的子字段。您可以使用以后的mutate {}过滤器调用删除您不想要的字段，或将它们放入事件的其他部分。

filter {
  mutate {
    add_field    => { "host" => "%{json_data.host}" }
    remove_field => [ "json_data.host" ]
  }
}

将编码的host移动到事件的顶部。

Answer 2

您可以使用此模式生成器：

https://grokdebug.herokuapp.com/

示例Grok-pattern：

{%{QS}:%{QS}, %{QS}:%{QS}, %{QS}:true, %{QS}:%{QS}, %{QS}:%{QS}, %{QS}:5, %{QS}:88, %{QS}:%{QS}, %{QS}:60797, %{QS}:%{QS}, %{QS}:%{QS}, %{QS}:%{QS}, %{QS}:1508514186945}

如何为json wrire grok表达

2 个答案: