在 logstash 1.5 中跨事件保留标签/字段

Question

我正在使用 logstash 1.5 来分析日志。

我想跟踪一个接一个发生的两个事件。 所以我想在第一个事件发生时设置一个标志/字段/标签，并跨事件保留该值。

我查看了this link，但看起来logstash 1.5 不支持grep 和drop。

有没有办法做到这一点？

Answer 1

您可以使用 logstash 获得的最接近的是 elapsed{} 过滤器。{}如果它不能满足您的需求，您可以使用该代码作为您自己的过滤器的基础。我还运行了一些外部 (python) 后处理来做超出 elapsed{} 可以（或应该）做的事情。