Logstash для удаления частей имени поля SNMP

Question

Я использую вход Logstash SNMP и получаю следующие поля:

iso.org.dod.internet.mgmt.mib-2.host.hrStorage.hrStorageTable.hrStorageEntry.hrStorageAllocationUnits.1"

Можно ли использовать фильтр, чтобы отбрасывать все до hrStorage?

Answer 1

Вы можете использовать фильтр mutate с опцией gsub .Если часть, которую вы хотите отбросить, всегда перед hrStorage., вы можете сделать что-то вроде этого:

mutate {
  gsub => [ "message", "^(.*)(hrStorage\..*)$", "\2"]
}

Используются группы захвата, вторая группа переходит от hrStorage. к концу и перваягруппа захватывает остальных.Тогда мы оставим только второе в заменяемой части опции.