Logstash自定义日期日志格式匹配

Question

我有这个日志打印日期的格式，看起来像这样：

=   Build Stamp: 10:45:33 On Apr 4 2014   = 

，所以我必须运行神交调试器中的过滤器，但是，如何删除仍然一无所知字在

grok { 
patterns_dir => "./patterns" 
match => { "message" => "%{F_TIMESTAMP:timestamp}" } 
} 

date { 
match => [ "timestamp" , "HH:mm:ss MMM d yyyy" , "HH:mm:ss MMM dd yyyy" ] 
locale => "en" 
} 

模式文件，

F_TIMESTAMP %{TIME} \On %{MONTH} +%{MONTHDAY} %{YEAR} 

我当前输出的时间戳记为

10:45:33 2014年4月4日在Grok调试器上。

那么我怎样才能使它兼容/匹配logstash @timestamp？

Answer 1

您可以提取日期时间的每个部分，并在没有On关键字的情况下合并到另一个字段中。

你可以做到这一点如下：

filter { 
    grok {   
     match => { "message" => "%{F_TIMESTAMP}" } 
    } 
    mutate { 
     add_field => { 
      "timestamp" => "%{time} %{month} %{monthday} %{year}" 
     } 
    } 
    date { 
     match => [ "timestamp" , "HH:mm:ss MMM d yyyy" , "HH:mm:ss MMM dd yyyy" ] 
     locale => "en" 
    } 
    mutate { 
     remove_field => [ "time" ,"month","monthday","year","timestamp"] 
    } 
} 

F_TIMESTAMP %{TIME:time}\s*On\s*%{MONTH:month}\s*%{MONTHDAY:monthday}\s*%{YEAR:year}

其工作对我罚款。