Logstash grok 模式过滤相当长的日志行，在两者之间添加忽略

Question

这是日志行

2015-10-05 12:04:19.199  INFO 4808 --- [metrics-logger-reporter-2-thread-1] com.example.metrics                      : type=TIMER, name=demo.ws.rest.controllers.ItemController.getAllItems, count=0, min=0.0, max=0.0, mean=0.0, stddev=0.0, median=0.0, p75=0.0, p95=0.0, p98=0.0, p99=0.0, p999=0.0, mean_rate=0.0, m1=0.0, m5=0.0, m15=0.0, rate_unit=events/second, duration_unit=milliseconds

我尝试学习 grok，这是我目前所学的

  "message" => "%{TIMESTAMP_ISO8601:time}%{SPACE}%{WORD}%{SPACE}%{NUMBER}%{SPACE}%{NOTSPACE}%{SPACE}%{NOTSPACE}%{SPACE}%{NOTSPACE}%{SPACE}%{NOTSPACE}%{SPACE}%{WORD}%{NOTSPACE}%{WORD:metrictype}%{NOTSPACE}%{SPACE}%{WORD:vardspirms}%{DATA:pirms}%{JAVAFILE:javafilename}%{NOTSPACE:peec}%{SPACE}%{WORD}%{NOTSPACE}%{NUMBER:count}%{GREEDYDATA:debuginfo}"

而且它看起来很长，效率低下且实践不佳。我想知道，如何在 grok 中添加忽略。所以我可以忽略 INFO 和类型之间的所有内容。对不起我的英语，我不是母语人士。

Answer 1

我找到了一个非常方便的解决方案。

kv {
    source => "debuginfo" # new field generated by grok before
    field_split => ", " # split fields by semicolon
    }

似乎把 debuginfo 中的所有内容都拆分得很好。

Logstash grok 模式过滤相当长的日志行，在两者之间添加忽略

Logstash grok pattern to filter a pretty long log line, add ignore between

regex

expression

logstash

grok