Logstash 事件日志过滤器

Question

我需要从 logstash 过滤来自 Microsoft 事件日志的错误消息。 ELK 在 ubunu 14.04 机器上运行

logstash 配置

input {
   tcp {
     port => 5045
     type => 'eventlog'

   }
}
filter{

if [type] == 'eventlog' {
    if [Severity] == "ERROR" {
    mutate {
      add_tag => "error"
    }
  }
}


}
output {

  elasticsearch {
         hosts => ["IP_ADDRSS:9200"]
      }

   if "error" in [tags]{

   stdout { codec => 'rubydebug' }
}
}

但我仍然收到了数以千计的事件日志，我无法从中过滤掉错误日志。 如何有效地从所有类型的事件日志中过滤错误日志？

Answer 1

您如何获取数据？从输入配置看不清楚。如果您使用Winlogbeat，过滤应该可以正常工作。

Answer 2

没有名为“Severity:ERROR”的标签。所以我在 tcp 输入中添加了 codec => "json"。现在日志中有错误标签。所以我可以过滤掉它。