使用 logstash 转发器在 logstash 中格式化后缀

Question

我正在使用 logstash 和 logstash 转发器设置 ELK 堆栈。我目前正在尝试将此 grok 模式用于后缀日志记录； https://github.com/whyscream/postfix-grok-patterns

在 logstash 中，我包含了存储库中提到的 2 个文件。

这是我的转发器中的内容；

"files": [
  {
    "paths": [ "/var/log/maillog" ],
    "fields": { "type": "postfix" }
  }
]

这是我返回的结果；

      "message" => "Jul 18 10:00:05 XXXX postfix/smtp[XXXX]: XXXX: to=<XXXX>, orig_to=<XXX>, relay=XXXXX, delay=0.35, delays=0/0.02/0.09/0.24, dsn=2.0.0, status=sent (250 Ok XXXXX)",
      "@version" => "1",
      "@timestamp" => "2015-07-18T20:17:06.796Z",
      "type" => "postfix",
      "file" => "/var/log/maillog",
      "host" => "XXXX",
      "offset" => "285776"

我想我错过了一个重要的部分。我想我需要提前做一些事情，因为存储库和 grok 中提到了 "syslogs"，正在对程序执行检查。

我错过了哪一步？我正在使用 logstash 1.5.x

感谢您的帮助！

Answer 1

这终于成功了

filter {   
  if [type] =~ "postfix" {
    grok {
      match => [ "message", "%{SYSLOGBASE} %{GREEDYDATA:message}" ]
      overwrite => [ "message" ]
    }     
  } 
}

使用 logstash 转发器在 logstash 中格式化后缀

Format postfix in logstash with logstash forwarder

logstash

logstash-forwarder