Wie mehrzeilige ELK analysieren basierend auf Zeitstempel

Question

Meine Protokolle

2017-07-04 10:19:52,896 - [INFO] - from application in ForkJoinPool-3-worker-1 

Resolving database... 

2017-07-04 10:19:52,897 - [INFO] - from application in ForkJoinPool-3-worker-1 

Resolving database... 

2017-07-04 10:19:52,897 - [DEBUG] - from application in ForkJoinPool-3-worker-1 

Json Body : {"took":2,"timed_out":false,"_shards":{"total":5,"successful":5,"failed":0},"hits":{"total":0,"max_score":null,"hits":[]},"aggregations":{"fp":{"doc_count_error_upper_bound":0,"sum_other_doc_count":0,"buckets":[]}}} 

2017-07-04 10:19:52,898 - [DEBUG] - from application in application-akka.actor.default-dispatcher-53 

Successfully updated the transaction. 

2017-07-04 10:19:52,899 - [INFO] - from application in ForkJoinPool-3-worker-1 

Resolving database... 

2017-07-04 10:19:52,901 - [DEBUG] - from application in application-akka.actor.default-dispatcher-54 

Successfully updated the transaction. 

I sind alle Protokolle zwischen zwei Zeitstempel zusammenfassen möchten sie mit GREEDYDATA entsprechen. Ich verwende filebeat mit ELK

Answer 1

ich es gelöst habe über die Konfiguration folgende

-

paths: 
    - /var/www/aspserver/logs/application.log 
    document_type: asp 
    input_type: log 
    multiline: 
    pattern: '^[0-9]' 
    negate: true 
    match: after 

Matchin alle Zeilen nach einer Linie mit der Startnummer und sie miteinander zu verschmelzen.

logstash filter : 
filter { 
    if [type] == "asp" { 
    grok { 
     patterns_dir => "/etc/logstash/conf.d/patterns" 
     match => { "message" => "%{JAVASTACKTRACEPART}" } 
    } 
    } 
} 

Verschlingen bis alle Protokolle