Grok фильтр для logstash

Question

Мой лог-файл имеет строки вида:

10/13 14:05:18.192 [modulename]: [pid]: (debug level string): message string XYZ:<xyz value> 

где

• modulename является строкой
• pid представляет собой целое число
• debug level string является строкой, как «отладка» или «информация» или «ошибка»
• message string строка
• xyz value представляет собой целое число

пример:

10/13 14:05:18.192 [MyModule]: [12345]: (debug): This is my message. XYZ: 987 

Я искал вокруг и попробовал несколько вещей, но я получаю _grokparsefailure. Может кто-нибудь помочь мне показать, какой фильтр я могу использовать в logstash для анализа этих журналов?

Answer 1

Прежде всего {GREEDYDATA} означает до конца события регистрации. Итак, весь текст, который находится после dbg_lvl, будет присвоен {GREEDYDATA}

Здесь попробуйте использовать следующий код. Проблема с вашим фильтром кода заключалась в том, что он не смог разобрать ничего после msg. Надеюсь это поможет.

(?<date>\d\d/\d\d) %{TIME:time} \[%{WORD:module}\]: \[%{WORD:pid}\]: \(%{WORD:log_level}\): %{CISCO_REASON}. %{WORD}: %{BASE10NUM:xyz_number}