我有一个日志,它打印的日期格式如下:
= Build Stamp: 10:45:33 On Apr 4 2014 =
所以我已经在grok调试器上运行了过滤器,但仍然不知道如何删除单词on
grok {
patterns_dir => "./patterns"
match => { "message" => "%{F_TIMESTAMP:timestamp}" }
}
date {
match => [ "timestamp" , "HH:mm:ss MMM d yyyy" , "HH:mm:ss MMM dd yyyy" ]
locale => "en"
}
图案文件
F_TIMESTAMP %{TIME} On %{MONTH} +%{MONTHDAY} %{YEAR}
我当前的时间戳输出是
10:45:33 2014年4月4日在grok调试器上。
那么我如何使它与logstash@timestamp兼容/匹配呢?
您可以提取日期-时间的每一部分,并在不带On关键字的另一个字段中组合。
您可以实现以下目标:
filter {
grok {
match => { "message" => "%{F_TIMESTAMP}" }
}
mutate {
add_field => {
"timestamp" => "%{time} %{month} %{monthday} %{year}"
}
}
date {
match => [ "timestamp" , "HH:mm:ss MMM d yyyy" , "HH:mm:ss MMM dd yyyy" ]
locale => "en"
}
mutate {
remove_field => [ "time" ,"month","monthday","year","timestamp"]
}
}
F_TIMESTAMP %{TIME:time}s*Ons*%{MONTH:month}s*%{MONTHDAY:monthday}s*%{YEAR:year}
它对我来说很好。