以下日志消息的 Logstash grok 模式

【问题标题】：Logstash grok pattern for the below log message以下日志消息的 Logstash grok 模式
【发布时间】：2015-08-21 11:40:19
【问题描述】：

我想使用 grok 模式从日志消息中提取 "" 模式中包含的以下内容。有人可以帮忙提供 grok 模式吗？

"2015/02/24 13:44:39" - Shell - (stdout) 2015/02/24 13:44:39 - "DIF_MainJob" - "Start of job execution"

"2015/02/25 13:01:39" - "SR_Incremental_Load" - "Start of job execution"

【问题讨论】：

你可以试试像grokconstructor.appspot.com/do/constructionstep这样的grok构造函数和像grokdebug.herokuapp.com这样的调试器

标签： logstash-grok

【解决方案1】：

您可以分两步解决此问题，首先匹配完整的日志行，然后第二删除不需要的部分。我在本地 elk 设置上进行了测试，使用以下配置，可能对您有所帮助。

filter{
 grok {
  match => { "message" => "\"%{DATA:my_date}\" - %{DATA:dropword} - \"%{DATA:phrase_1}\" - \"%{DATA:phrase_2}\"" }
 }
 mutate {
   remove_field => ["dropword"]
 }

}

附上我 Kibana 的截图

【讨论】：