已使用插件来创建带有日志详细信息的新事件

Question

我在Logstash中使用了经过插件过滤器，如何将某些结束标签日志字段添加到经过的新事件中（如果我将new_event_on_match设置为true）。我想删除实际的日志，只保留过去的事件日志。

Answer 1

我通过为其他日志事件添加drop（）解决了这一问题

if "elapsed" in [tags] {
    ... 

}else {
      drop {}
}