logstash - 如何过滤 Logstash Grok 的字段值

Question

我正在设置 Logstash 以将 NGINX 日志条目发送到 Elasticsearch。我目前设置了以下 Grok 模式来匹配条目：

%{IPORHOST:remoteAddr} (?:-|(%{WORD}.%{WORD})) %{USER:ident} \[%{HTTPDATE:timestamp}\] \"(?:%{WORD:method} %{NOTSPACE:request}(?: HTTP/%{NUMBER:httpversion})?|%{DATA:rawrequest})\" %{NUMBER:status} (?:%{NUMBER:bytes}|-) %{QS:referrer} %{QS:agent} %{QS:forwarder}

在这种情况下，方法字段是可选的。

我试图找出一种方法来忽略存在方法且值等于字符串HEAD的日志条目。

有没有办法做到这一点，或者我是 SOL？

标签： logstashlogstash-grok

Answer 1

如果 [method] 字段具有该值，则使用条件并删除事件：

if [method] == "HEAD" { drop {} }

如果没有 [method] 字段，则字符串比较将返回 false 并且不会删除事件。