我有一个来自 Windows 事件日志的 IP 地址字段,该字段在 IP 地址前面包含类似"::fffff:"之类的字符。我无法在此处更改源代码,因此我必须在 Logstash 中解决此问题。
我必须讨厌谷歌搜索,但我真的找不到一种简单的方法来从 logstash 的 IP 地址字段中去除这些字符。
例如,我试过
if ("" in [event_data][IpAddress]) {
mutate {
add_field => { "client-host" => "%{[event_data][IpAddress]}"}
gsub => ["client-host", ":", ""]
}
dns {
action => "replace"
reverse => [ "client-host" ]
}
}
但没有运气,结肠还在那里。如何在 Logstash 中替换字符串 "::ffff:10.0.36.39" 中的 "::ffff:"?
add_field
直到gsub
之后才会执行,所以你需要把它分成两个mutate
块。
mutate {
add_field => { "client-host" => "%{[event_data][IpAddress]}"}
}
mutate {
gsub => ["client-host", "::ffff:", ""]
}
mutate
工作的特定顺序:
rename(event) if @rename
update(event) if @update
replace(event) if @replace
convert(event) if @convert
gsub(event) if @gsub
uppercase(event) if @uppercase
lowercase(event) if @lowercase
strip(event) if @strip
remove(event) if @remove
split(event) if @split
join(event) if @join
merge(event) if @merge
filter_matched(event)
其中filter_matched具有所有标准操作,例如add_field