Grok 模式、日期和时间格式

Question

我有以下消息的日志输出；

[event] 02/05 09:20:01.8 PM message description

[event] 10/26 09:42:27.0 AM message description

如何使用 grok 获取上述格式的日期和时间

日期是 02/05 即 mm/dd。年份未定义但并不重要，因为我知道它是 2020 年，因此无需定义它

时间如上例，可以是下午和上午

如何使用 grok 获取日志存储中的日期和时间

我试过了

 %{TIME:timestamp} %{GREEDYDATA:Description}

但这仅捕获时间戳为 09:20:01.8，不包括 PM。要是换成24小时就好了

Answer 1

您可以定义一个自定义模式来匹配整个 date/time

grok {
    pattern_definitions => { "MYTIME" => "%{MONTHNUM}/%{MONTHDAY} %{TIME} [AP]M"
    match => { "message" => "%{MYTIME:timestamp}" }
}

Grok pattern, date and time formats