Logstash> Skip grokked Streichhölzer

Question

Dies ist die logstash Config für Apache access_log:

input { 
    file { 
    path => "/var/log/http.log" 
    } 
} 
filter { 
    grok { 
    match => { "message" => "%{IP:client} %{WORD:method} %{URIPATHPARAM:request} %{NUMBER:bytes} %{NUMBER:duration}" } 
    } 
} 

Ich möchte alle Felder mit Ausnahme von % sammeln {WORD: Methode}

Wie kann ich lasse die Feld übersprungen/ignoriert von der Übertragung auf ElasticSearch?

Answer 1

Sie können dies tun, indem Sie das Wort "method" entfernen, das nach WORD angezeigt wird. Also Ihr grok Filter würde wie folgt aussehen:

 
match => { "message" => "%{IP:client} %{WORD} %{URIPATHPARAM:request} %{NUMBER:bytes} %{NUMBER:duration}" } 
    } 

Die Worte, die nach dem Doppelpunkt erscheinen, sind Variablennamen, in denen die Typen wie IP, WORD, Nummer usw. gespeichert sind und weitergegeben.

Answer 2

sollten Sie den Mutate-Block auf Ihrem Grok-Filter verwenden.

plugins-filters-mutate