多行的Grok模式不起作用

Question

        1st|                    2nd|3rd        |4th         |5th                 |6th              |7th          |8th   |2012.07.12 05:31:04      |10th  |ProductDir: C:\samplefiles\test\storage\4.0 (LF)
C:\samplefiles\test\storage\5.0 (LF)
SampleDir: (LF)

注意：LF->换行符已添加

我尝试了以下选项。.似乎没有任何作用

1. match => [ "message", "(?m)....
2. (?<message>(.|\r|\n)*)
3. Greedydata也不起作用，因为它没有考虑换行。
4. mutate {gsub => ["message", "\n", "LINE_BREAK"] }

5. codec => multiline { pattern => "^\s" negate => true what => previous }

Answer 1

(?m)%{GREEDYDATA}将匹配任何多行日志，包括您的日志。 请对其进行测试here

Answer 2

下面的一个对我有用。

codec => multiline{
    pattern => "^\s*\d{1,}\|"
    negate => "true"
    what => "previous"
}