自定义日志文本文件的 Logstash grok 模式答案

【问题标题】：Logstash grok pattern for custom log text file自定义日志文本文件的 Logstash grok 模式
【发布时间】：2016-04-11 14:39:31
【问题描述】：

我是 logstash 的新手，我正在尝试为我的文本类型的日志文件创建 grok 模式。文件中记录的数据如下：

Timestamp: 24-03-2016 19:59:11
Message: Received request to get data
Title:GetData()
Machine: LTPN
----------------------------------------
Timestamp: 24-03-2016 20:15:34
Message: ERROR [08001] [Microsoft][ODBC SQL Server Driver][DBNETLIB]SQL Server does not exist or access denied.
ERROR [01000] [Microsoft][ODBC SQL Server Driver][DBNETLIB]ConnectionOpen (Connect()).
ERROR [01S00] [Microsoft][ODBC SQL Server Driver]Invalid connection string attribute
Title:GetData() 
Machine: LTPN
----------------------------------------

我想以这样的方式来理解它，它应该填充以下字段：

Timestamp = 24-03-2016 20:15:34
Messsage = ERROR [08001] [Microsoft][ODBC SQL Server Driver][DBNETLIB]SQL Server does not exist or access denied.
ERROR [01000] [Microsoft][ODBC SQL Server Driver][DBNETLIB]ConnectionOpen (Connect()).
ERROR [01S00] [Microsoft][ODBC SQL Server Driver]Invalid connection string attribute
Title = GetData()
Machine = LTPN

有人可以帮我创建模式吗？

【问题讨论】：

标签： logging logstash logstash-grok logstash-configuration

【解决方案1】：

第一步是将您的多行消息组合成一个logstash 事件。根据数据进入logstash的方式，您可能可以在此完成（filebeat支持多行）。如果没有，请查看多行编解码器。

将行合并后，您就可以使用 grok{} 过滤器应用正则表达式来创建所需的字段。

【讨论】：