logstash - 同一个三十方设备输入不同日志时如何设置logstash conf

Question

当用户使用不同的网络命令时，三十方设备有不同的日志。例如：日志 A

Jun  2 16:45:49 host-A; rule='a', type='a', pattern='a', actions_taken='a', event_data='a'

日志b

Jun 2 16:52:19 host-A; event='bbb',  user='sss',  com='111'

当用户使用不同的命令时，它们没有相同的字段。

gork 不能只使用一种模式来解析日志。

如何设置 grok 来解​​决这个问题？

标签： logstashlogstash-grok

Answer 1

使用 grok 解析分号之前的所有内容，然后使用 kv 过滤器解析其余部分。