如何在 logstash 或 kibana 中同步日志时间

Question

我有两个来自不同来源的日志，我通过 logstash 将它们拉入 elasticsearch，然后使用 kibana 进行可视化。我的问题是每个日志的开始时间应该是相同的，但是其中一个日志在 30 分钟前错误地记录了条目。

我该如何纠正这个时间问题，是否有可以从时间中减去 30 分钟的 logstash 过滤器，或者我可以在 Kibana 中添加一些高级查询？

我更喜欢更新 logstash 中的日志条目。

Answer 1

理想情况下，您可能希望修复日志，以便在文件中列出正确的时间。如果您的问题出在数据中，则更容易在此处解决问题，而不是与下游的额外规则搏斗。

但是，如果需要，您可以操作 Logstash 时间戳。

每个事件的@timestamp 字段与Ruby 的Time 类有很多共同之处。特别是，它实现了相同的 + 和 - 运算符，允许您添加或减去一些秒数：

filter {
    ruby {
        code => "
                event['@timestamp'] = LogStash::Timestamp.new(event['@timestamp'] + (30 * 60))
        "
    }
}