需要有关 logstash 的更多信息

Question

我需要简单的解释：slight_smile：我是 logstash 的初学者 我有一些问题:slight_smile:

1. 标签 _gorkparsefailure 的用途是什么？如果我删除这个标签会发生什么？

2. 如何删除标签multiline？

3. 如何从我的 grok（grok 中的条件）的字段中创建条件？

4. 什么是endpoint？

Answer 1

1. grok{} 是一个过滤器，用于将较大的字段（如整个日志行）解析为较小的字段。如果您的模式与给定的输入不匹配，“_grokparsefailure”标签将添加到事件中。如果删除它，您将不知道发生了此类故障。我建议找到失败的原因并解决它。

2. 您可以使用大多数过滤器上可用的 remove_tag 参数删除标签。 mutate{} 过滤器是一种常用的过滤器：

   变异{ remove_tag => ["multiline"] }

3. 如果我对问题的理解正确，您可以在 运行 其他一些过滤器的条件下使用由 grok{} 创建的字段：

   如果 [我的字段] == "myValue" { ... }

4. 一般来说，端点就是目的地。在 ELK 世界中，我只看到它用在 http{} 输入和输出中，它们用于将网站描述为目的地。