Фильтр Logstash grok, отладчик в порядке, но сбой при анализе logstash

мой фильтр grok в порядке в отладчике grok, но не работает, когда я запускаю logstash.

мой линейный журнал

[Mon Aug 28 09:16:16.028821 2017] [php7:notice] [pid 11111] [client 22.22.66.66:66666] message d'erreur

мой .conf

filter { 
   grok { 
      match => { "message" => "\[%{DAY:day} %{MONTH:month} %{MONTHDAY:monthday} %{TIME:time} %{YEAR:year}\] \[%{WORD:php}:%{WORD:logelvel}\] \[%{WORD} %{WORD:processus}\] \[%{WORD} %{IP}:%{POSINT:port}\] %{GREEDYDATA: message}" }
   } 
}

Результат :

@timestamp:August 28th 2017, 10:40:22.380 offset:5,269 @version:1 input_type:log beat.hostname:ip-166-55-55-55 beat.name:ip-166-55-55-55 beat.version:5.5.1 host:ip-175-61-66-66 source:/var/log/apache2/filelog.log 
message:[Mon Aug 28 09:10:59.023093 2017] [php7:notice] [pid 11111] [client 22.22.66.66:66666] 
message d'erreur type:log tags:beats_input_codec_plain_applied, _grokparsefailure _id:AV4n_8akHhd-RttynnUH _type:log _index:index-2017.08.28 _score: -

Большое спасибо за вашу помощь.


filter logstash logstash-grok elasticsearch
person Cleoh    schedule 28.08.2017    source источник

Ответы (1)


arrow_upward
0
arrow_downward

Вам нужно избежать квадратной скобки следующим образом:

\[%{DAY:day} %{MONTH:month} %{MONTHDAY:monthday} %{TIME:time} %{YEAR:year}\] \[%{WORD:php}:%{WORD:logelvel}\] \[%{WORD} %{WORD:processus}\] \[%{WORD} %{IP}:%{POSINT:port}\] %{GREEDYDATA:message}
person whites11    schedule 28.08.2017
comment
Пробел в %{GREEDYDATA: message} должен быть удален, иначе он не будет работать (по крайней мере, в отладчике grok). - person baudsp; 28.08.2017
comment
Извините, я не вижу разницы между ними. Хорошо для космоса - person Cleoh; 28.08.2017
comment
Перед редактированием baudsp ваш шаблон grok пропускал \ перед квадратной скобкой, я предложил добавить их - person whites11; 28.08.2017
comment
Спасибо за ваш ответ, но посмотрите мою версию, у меня есть \ все [ . Я изменил место, но та же проблема. - person Cleoh; 28.08.2017
comment
Попробуйте постепенно удалять фрагменты шаблона from с конца, пока синтаксический анализатор не перестанет давать сбой. Таким образом, вы должны понять, какой токен не работает - person whites11; 28.08.2017
comment
@Cleoh В вашем вопросе в %{GREEDYDATA: message} все еще есть пробел, который необходимо удалить. - person baudsp; 29.08.2017