日志存储从字段正则表达式创建更多字段

Question

如何从 Logstash 过滤器中的字段添加新字段？

例：

field1 => '192.168.0.131 abcd 123'

最终结果

field1 => '192.168.0.131 abcd 123'
srcip => '192.168.0.131'
word => 'abcd'
number => '123'

谢谢！

Answer 1

您可以使用

grok来解析上一个grok的结果，只需将另一个过滤器添加到过滤器链中即可。

例如：

grok {
  match => { "field1" => "%{IP:srcip} %{WORD:word} %{NUMBER:number} " }
  remove_field => ["field1"]
}