我应该如何为下面的日志模式定义 grok 匹配模式

Question

我正在使用的日志模式

2018-06-18 18:25:25.424 ERROR 2688 --- [io-8052-exec-16] c.l.o.u.s.i.ClientCallbackServiceImpl   , 239 : Unable to inform client about the order callback status: Exception occured is: {}

Answer 1

你真的不需要 grok ，你可以简单地使用dissect {}.

因此，如果您的信息是：

2018-06-18 18:25:25.424 ERROR 2688 --- [io-8052-exec-16] c.l.o.u.s.i.ClientCallbackServiceImpl , 239 : Unable to inform client about the order callback status: Exception occured is: {}

那么你的解剖将是这样的，小心保留空间：

dissect {
mapping => {
"message" => "%{date} %{time} %{log_level} %{log_level_code} --- [%{process}] %{class} , %{line} : %{log_message}"
}
}

然后，您需要使用mutate将字段date和time合并到另一个字段中，并使用date筛选器将其设置为时间戳。

mutate {
add_field => {"log_date" => "%{date} %{time}"}
}
date {
match => [ "log_date", "yyyy-MM-dd HH:mm:ss.SSS" ]
}