Sintax Fehler _grokparsefailure in logstash

Question

Hallo, ich habe die folgen Beispiel Linien mit grok passen, aber es nur dieses _grokparsefailure Fehler erzeugen:

OSSEC - RULEID: "1484654377"; RULEID: "5402"; RULELEVEL: "3"; RULEGROUP: "syslog,sudo"; RULECOMMENT: "Successful sudo to ROOT executed"; DSTUSER: "root"; SRCIP: "None"; HOSTNAME: "elk-stack-2"; LOCATION: "/var/log/auth.log"; EVENT: "[INIT]Jan 17 09:59:36 elk-stack-2 sudo: root : TTY=pts/1 ; PWD=/root ; USER=root ; COMMAND=/bin/su[END]";

Mein grok conf ist:

filter { 
    grok { 
     match => { "message" => "OSSEC - RULEID: \"%{NUMBER:timestamp}\"; RULEID: \"${NUMBER:ruleid}\"; RULELEVEL: \"${NUMBER:rulelevel}\"; RULEGROUP: \"${GREEDYDATA:rulegroup}\"; RULECOMMENT: \"${DATA:rulecomment}\"; DSTUSER: \"${NOTSPACE:dstuser}\"; SRCIP: \"${NOTSPACE:srcip}\"; HOSTNAME: \"${NOTSPACE:hostname}\"; LOCATION: \"${NOTSPACE:location}\"; EVENT: \"[INIT]${DATA:event}[END]\";" 
     } 
    } 
} 

Wohin ich gehe falsch?

Answer 1

Sie verwechselten die Syntax: Sie verwendeten $ anstelle von % in vielen Fällen oben (mit %{...}). Außerdem muss die [ außerhalb der Zeichenklasse mit Escape-Zeichen versehen werden, damit sie einem Literalzeichen [ entspricht. Ich schlage auch vor, DATA anstelle von GREEDYDATA mit dem rulegroup Feld zu verwenden.

Verwenden

OSSEC - RULEID: \"%{NUMBER:timestamp}\"; RULEID: \"%{NUMBER:ruleid}\"; RULELEVEL: \"%{NUMBER:rulelevel}\"; RULEGROUP: \"%{DATA:rulegroup}\"; RULECOMMENT: \"%{DATA:rulecomment}\"; DSTUSER: \"%{NOTSPACE:dstuser}\"; SRCIP: \"%{NOTSPACE:srcip}\"; HOSTNAME: \"%{NOTSPACE:hostname}\"; LOCATION: \"%{NOTSPACE:location}\"; EVENT: \"\[INIT\]%{DATA:event}\[END\]\"; 

Auch Sie können alle Räume mit \s+ ersetzen, wenn das Leerzeichen unterscheiden zu optimieren entsprechen.