logstash - 日期的 Grok 模式

Question

我的日志中有日期：

2016 年 7 月 8 日 08:58:07,258 ...

目前我正在使用：

%{MONTHDAY}[T ]%{MONTH}[T ]%{YEAR}[T ]%{HOUR}:?%{MINUTE}(?::?%{SECOND})[T ]...

解析它。

如何将其转换为日期类型。当我们有一个现有的 grok 模式时，我知道如何使用“日期”来做到这一点，但在我的情况下如何做到这一点？

Answer 1

你可以有一个自定义模式：

(?<log_timestamp>%{MONTHDAY}[T ]%{MONTH}[T ]%{YEAR}[T ]%{HOUR}:?%{MINUTE}(?::?%{SECOND}[T ])

有了这个，您将拥有一个log_timestamp可以提供给date过滤器的字段。

或者您可以使用ruby过滤器将所有字段连接到一个以提供给date过滤器。