Benutzerdefinierte Anmeldung Kibana

Question

I-Software verwenden, die Log-Dateien in/var macht/log/softwarename/YYYYMMDD/ Es verwendet JSON Formatierung. Aber ich bin neu in Kibana und habe keine Ahnung, wie ich die Protokolldateien richtig auslesen kann, da ich die Protokolldateien in einer einzigen Regel erhalte, während ich Formatierung verwenden sollte.

Das klingt alles sehr vage, aber bitte sehen Sie https://www.youtube.com/watch?v=H6dCCw666Xw&t=341s (überspringen zu 2:39). Hoffentlich erklärt dies einige Dinge ...

EDIT: Okay, ich habe etwas recherchiert und herausgefunden, dass es die richtigen Dateien liest. Allerdings ist die Formatierung in Kibana falsch: https://puu.sh/vKyFO/0097ac2c0f.png Also, wie kann ich sicherstellen, dass es richtige Felder und solche, wie im Video hat?

Answer 1

Bitte vergessen Sie über die grok filter plugin, stattdessen verwendet die json filter plugin. Es hat die Fähigkeit, Json-Eingaben zu analysieren. Ich habe diese Konfiguration versucht.

input { 
    file { 
     path => "/path/to/logfile/logfile" 
    } 
} 

filter{ 
    json{ 
     source => "message" 
    } 
#remove message (not needed) 
    mutate { 
     remove_field => ["message"] 
    } 
} 


output { 
    elasticsearch{ 
     hosts => ["elasticsearchip:9200"] 
     manage_template => true 
     index => "your-index" 
    } 
} 

Eingang

{"sessionend": "2017/05/09 14:20:44", "ver": "1", "host": "94.228.216.5", "session": "627650cf-a214-4c62-ba81-0eec6b9f57d3", "user": "(removedforsafety)", "timing": "2017/05/09 14:20:44", "sessionstart": "2017/05/09 14:20:34"} 

Ausgabe in Elasticsearch

{ 
    "_index" : "your-index", 
    "_type" : "logs", 
    "_id" : "AVvuH4v3tbMuoFZBfUAn", 
    "_score" : 1.0, 
    "_source" : { 
     "path" : "/path/to/logfile/logfile", 
     "ver" : "1", 
     "@timestamp" : "2017-05-09T16:51:36.156Z", 
     "session" : "627650cf-a214-4c62-ba81-0eec6b9f57d3", 
     "timing" : "2017/05/09 14:20:44", 
     "@version" : "1", 
     "host" : "94.228.216.5", 
     "sessionend" : "2017/05/09 14:20:44", 
     "user" : "(removedforsafety)", 
     "sessionstart" : "2017/05/09 14:20:34" 
    } 
} 

Hoffnung, das hilft.