红宝石 - 在logstash

-4

中获得价值，我有一个字段和值输出看起来像红宝石 - 在logstash

A::field_1_2_3_4_22_5_6_7_8_365 => 6

因为字段名是因为“动态”包含IP和端口。如何使用红宝石从字段名称中获取值并为其添加字段？它会看起来像

A::field => 6 
bIP => 1.2.3.4 
bport => 22 
cIP => 5.6.7.8 
cport => 365

任何帮助将不胜感激!!谢谢

来源

2016-05-14 andrewarnier

这里是一个非常类似的问题的答案：logstash name fields dynamically

对于这种精确的情况下，ruby过滤器需要有点更多地参与，以捕捉不同的东西

filter { 
    ruby { 
    code => " 
     newhash = {} 
     event.to_hash.each {|key, value| 
     re = /(\w::[a-z]+)_(\d+_\d+_\d+_\d+)_(\d+)_(\d+_\d+_\d+_\d+)_(\d+)/ 
     if key =~ re then 
      field, bIP, bport, cIP, cport = key.match(re).captures 
      newhash[field] = event[key] 
      newhash['bIP'] = bIP.gsub('_', '.') 
      newhash['bport'] = bport 
      newhash['cIP'] = cIP.gsub('_', '.') 
      newhash['cport'] = cport 

      event.remove(key) 
     end 
     } 
     newhash.each {|key,value| 
     event[key] = value 
     } 
    " 
    } 
}

所以，如果你有一个领域像在事件"A::field_1_2_3_4_22_5_6_7_8_365" => "6"，你的活动将随后包含以下字段：

{ 
     "A::field" => "6", 
      "bIP" => "1.2.3.4", 
     "bport" => "22", 
      "cIP" => "5.6.7.8", 
     "cport" => "365" 
}

来源

2016-05-14 03:10:14 Val

你能试试吗？ – Val

-1

也许我还没有完全正确understooden这一点，但你可以使用数组和方法.push添加：

Array=[1, 2, 5, 7] 
@n = [3, 4, 6] 
Array.push(@n) => Array=[1, 2, 3, 4, 5, 6, 7]

来源

2016-05-14 00:28:09

您可以使用下面的代码：

field_name = 'A::field_1_2_3_4_22_5_6_7_8_365' 
fields = field_name.split("_") 
bID = "#{fields[1]}.#{fields[2]}.#{fields[3]}.#{fields[4]}" 
bport = "#{fields[5]}" 
bID = "#{fields[6]}.#{fields[7]}.#{fields[8]}.#{fields[9]}" 
bport = "#{fields[10]}"

来源

2016-05-14 00:31:55

由于ip和端口，字段名称是动态的。所以我不能具体的字段名称。它只能指定字段名称的前缀是“A :: field_” – andrewarnier

如何获得A :: field_字段？什么创造了这个领域，你的代码如何“知道”它？您能否提供一个真实的代码示例，显示它是如何创建（或获取）和使用的？ –

HARD部分是为了获得该字段的名称，并且有必要知道该字段是如何知道名称的。在某些情况下甚至不可能获得该名称。 –

红宝石 - 在logstash

回答

相关问题