用于 logstash / elasticsearch 的 Grok 模式

Question

我有以下日志文件（多行）

[25/Nov/2015:15:25:06 +0000] 28minutes.asf-prod.arte.tv GET /profiles/asf/themes/asf/css/grab.png http_code=302 query= uid=0 php_pid=1634 php_time=0.047 queue_wait=0 request_id="v-b52d24dc-9388-11e5-bf44-22000a5ba31e"
[25/Nov/2015:15:25:13 +0000] karambolage.asf-prod.arte.tv GET /fr/la-devinette-194-karambolage http_code=200 query= uid=0 php_pid=1603 php_time=1.113 queue_wait=0 request_id="v-b865c0c8-9388-11e5-9210-22000a5ba31e"

以及 grok 的以下过滤器

\[%{HTTPDATE:timestamp}\] %{URIHOST:acquia_vhost} %{WORD:verb} %{NOTSPACE:request} http_code=%{NUMBER:response} query=(%{USER:query})? uid=%{NUMBER:uid} php_pid=%{NUMBER:php_pid} php_time=%{NUMBER:php_time} queue_wait=%{NUMBER:queue_wait} request_id=%{QUOTEDSTRING:request_id}$

我正在使用 http://grokconstructor.appspot.com/do/match#result 进行测试，我得到了 'non matched'。

但我没有发现我的模式有任何问题:( 谢谢你的帮助

此致，

Answer 1

"\$" 表示模式末尾的美元符号。你没有这样的东西。

一般来说，一次构建一个元素的模式。这样，当它们破裂时，您就知道它在哪里。

Answer 2

这是一个有效的配置文件

grok {
      match => { "message" => "\[%{HTTPDATE:timestamp}\] %{URIHOST:acquia_vhost} %{WORD:verb} %{NOTSPACE:request} http_code=%{NUMBER:response} query=(%{NOTSPACE:query})? uid=%{NUMBER:uid} php_pid=%{NUMBER:php_pid} php_time=%{NUMBER:php_time} queue_wait=%{NUMBER:queue_wait} request_id=%{QUOTEDSTRING:request_id}"}
    }

用于 logstash / elasticsearch 的 Grok 模式

Grok pattern for logstash / elasticsearch

grok

elasticsearch

logstash