Logstash Filter, die Ereignisse fällt, wenn etwas null ist

Question

Also schrieb ich einen Filter ein Ereignis zu löschen, die ein bestimmtes Feld mit einem Wert von null hat:

filter { 
    if[type] == "flow" and [packet_source][ip] == "" { 
      drop { } 
    } 
} 

Dies ist jedoch nicht funktioniert. Hat jemand eine Idee warum? Die Namen der Parameter korrekt sind

Logstash Version 5.2

Answer 1

Ihre Filter prüft, dass [packet_source][ip] == "" existiert und nicht null.

nicht sicher, was [type] == "flow" ist, aber ich denke, Sie

filter { 
    if[type] == "flow" and ("" not in [packet_source][ip]) { 
    drop { } 
    } 
} 

Sie wollen auch !("" in [packet_source][ip]) oder !([packet_source][ip] == "")

jedoch verwenden können, gemäß der Dokumentation, gibt es derzeit keine Möglichkeit, zwischen einem Feld zu unterscheiden, die doesn Es gibt kein Feld, das einfach falsch ist.

Sie verweisen können: https://www.elastic.co/guide/en/logstash/current/event-dependent-configuration.html

Answer 2

zu @ Hinzufügen cattastrophe Antwort, versuchen Sie dies auch:

if "flow" in [type] and "" in [packet_source][ip]{  
    drop { }   
} 

UND

if[type] == "flow" and [packet_source][ip] == 'null'{ <-- please try with double quotes around null as well 
     drop { }   
}