Logstash神交模式错误

Question

我具有由Cisco交换机系统日志消息如下

<189>11762: SW01: ]: Oct 19 15:46:15.776 GMT: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet1/0/5, changed state to up 

我试图SW01之后移除]，并使用下面模式成功：

<%{NUMBER:message_type_id}>%{NUMBER:internal_id}:%{SPACE}%{SYSLOGHOST:origin_hostname}:%{SPACE}\]:%{SPACE}%{CISCOTIMESTAMP:cisco_timestamp} 

这种模式农产品以下输出：

{ 
"internal_id": "11762", 
"cisco_timestamp": "Oct 19 15:46:15.776", 
"message_type_id": "189", 
"origin_hostname": "SW01" 
} 

但是，当我尝试添加进一步的模式后时间戳如下荷兰国际集团：

\%%{WORD:facility}-%{INT:severity}-%{WORD:mnemonic}: %{GREEDYDATA:msg} 

GrokDebugger：

Provided Grok patterns do not match data in the input 

如何可以匹配于上述系统日志消息的模式？

任何帮助，高度赞赏

谢谢

Answer 1

使用此：

<%{NUMBER:message_type_id}>%{NUMBER:internal_id}:%{SPACE}%{SYSLOGHOST:origin_hostname}:%{SPACE}\]:%{SPACE}%{CISCOTIMESTAMP:cisco_timestamp}%{SPACE}%{DATA:gmt}:%{SPACE}%{PROG}%{WORD:facility}-%{INT:severity}-%{WORD:mnemonic}:%{SPACE}%{GREEDYDATA:msg}