logstash 多行模式来检测应该聚合的行

Question

我想检测不包含以下格式的日期和时间的行，这些行应该聚合到上一行：

28.04.2017;15:13:30.276

所以我创建了一个这样的自定义 grok 模式：

MLINE %{MONTHDAY}\.%{MONTH}\.%{YEAR};%{TIME}

这是我的多行配置：

        codec => multiline {
            pattern => "%{MLINE}"
            negate => true
            what => "previous"
        }

我的预期是，如果来到logstash的日志行不包含%{MLINE}，那么它应该聚合到上一行。

但这并没有发生，我不明白为什么。基本上每个日志行都被认为是聚合的，并且logstash由于缓存限制很快就会结束。

我做错了什么？

Answer 1

%{MONTH} 模式匹配诸如 Aug、Feb、September 之类的词。你想要%{MONTHNUM} 模式。

你想要的模式是：

MLINE %{MONTHDAY}\.%{MONTHNUM}\.%{YEAR};%{TIME}

我使用具有多行工具的grok constructor 对此进行了测试。