Logstash输入日志文件的Grok模式

Question

[16083870834]服务警报：localhost；交换使用；好啊柔软；2.SWAP正常-1%可用(1023 MB中有0 MB(

我必须为Logstash过滤JSON格式的字符串示例，这是我的Nagios日志文件输出，我必须使用Logstash加载到我的ELK中，我该如何为此向grok写入？

Answer 1

在grok中，有一个用于这种类型的行的专用模式：NAGIOSLOGLINE。

所以在你的情况下，试试这个：

filter {
grok {
match => { "message" => "%{NAGIOSLOGLINE}" }
}
}

有关信息，您可以使用grokdebug在此处测试更多模式。

Answer 2

以下是您发现的经过修改的grok模式：

[%{NUMBER:unix_timestamp}]s%{DATA:type}:s%{DATA:host};%{DATA:service};%{DATA:status};%{DATA:nagios_status};%{DATA:int};%{GREEDYDATA:nagios_message}