ELK LDAP 日志过滤

Question

两件事：我们的日志看起来像这样 -

May 11 06:51:31 ldap slapd[6694]: conn=1574001 op=1 SRCH base="cn=s_02,ou=users,o=meta" scope=0 deref=0 filter="(...)" 我需要 1）获取时间戳并将其设置到 Kibana 发现面板的左侧“时间”列，2）获取连接后的数字并将其设为字段，以便能够按数字排序。我花了一整天的时间研究，日期和变异似乎很有希望，但我无法正确实施它们。 配置文件如下所示：

input {
   file {
      path => "/Desktop/logs/*.log"
      type => "log"
      sincedb_path => "/dev/null"
   }
}

output {

  elasticsearch {
    hosts => "127.0.0.1"
    index => "logstash-%{type}-%{+YYYY.MM.dd}"
  }

  file {
    path => "/home/logsOut/%{type}.%{+yyyy.MM.dd.HH.mm}"
  }
}

Answer 1

如果您只需要这两个作为单独的字段：

filter {
    grok {
        match => { 
            "message" => [ "%{SYSLOGBASE} conn=%{INT:conn}" ]
        }
    }

    date {
        match => [ "timestamp", "MMM dd HH:mm:ss" ]
        target => "time"
    }

    mutate {
        convert => { "conn" => "integer" }
    }
}