elasticsearch - 在 logstash 1.5 中跨事件保留标签/字段

Question

我正在使用 logstash 1.5 来分析日志。

我想跟踪一个接一个发生的两个事件。所以我想在第一个事件发生时设置一个标志/字段/标签，并在事件之间保留该值。

我查看了此链接，但似乎 grep 和 drop 在 logstash 1.5 中不受支持。

有没有办法实现这一目标？

Answer 1

您可以使用 logstash 获得的最接近的是 elapsed{} 过滤器。{} 如果它不能满足您的需求，您可以使用该代码作为您自己的过滤器的基础。我还运行了一些外部（python）后处理来做比 elapsed{} 可以（或应该）做的更多事情。