使用 logstash 将日志行转换为逗号分隔的字段

Question

我对 Logstash 完全陌生。谁能告诉我要添加到配置文件中的过滤器，以使用 Logstash 分隔以下日志行？

"2011/08/10 09:47:23.449598,0.001199,udp,203.136.22.37,15306, ,147.32.84.229,13363,CON,0,0,2,317,64,flow=Background-UDP - 成立”，

我希望上面的行返回一个 JSON 对象，如下所示：

{
TimeStamp: 2011/08/10 09:47:23.449598
Value: 0.001199
protocol: udp
IP: 203.136.22.37
...
}

Answer 1

复制下面的文本并将其写入您的 conf 文件并运行 logstash。 它将从控制台获取输入，并以您想要的格式输出到控制台。

input {
   stdin{
   }
}
filter {
        grok {
           match => ["message","%{DATESTAMP:timestamp},%{BASE16FLOAT:value},%{WORD:protocol},%{IP:ip},%{GREEDYDATA:remaining}" ]
        }
}
output {
  stdout {
        codec => rubydebug
  }
}