Logstash grok 过滤器自定义日期

Question

我正在为来自我的 Synology 机器的系统日志消息编写一个 logstash grok 过滤器。示例消息如下所示。

Jun  3 09:39:29 diskstation Connection user:\tUser [user] logged in from [192.168.1.121] via [DSM].

我很难过滤掉格式奇怪的时间戳。有人可以在这里帮我一把吗？这是我目前所拥有的。

if [type] == "syslog" and [message] =~ "diskstation" {
    grok {
      match => [ "message", "%{HOSTNAME:hostname} %{WORD:program} %{GREEDYDATA:syslog_message}" ]
    }
  }

您可能会说我还没有处理过时间戳。一些帮助将不胜感激。

Answer 1

以下配置可以帮助您解析日志。

grok {
    match => [ "message", "%{SYSLOGTIMESTAMP:date} %{HOSTNAME:hostname} %{WORD:program} %{GREEDYDATA:syslog_message}" ]
}

您可以在here 尝试您的日志和模式，并在here 参考所有提供的模式。