ELK Stack - AWS Журнал доступа LoadBalancer User Agent

Question

Я недавно интегрировал стек ELK, в котором есть входные данные из AWS Журналы доступа ELB (Тип: Приложение), хранящиеся в S3. Моя цель состоит в том, чтобы иметь визуальный агент пользователя. Но у меня есть небольшая проблема; Пользовательский агент (userAgent) не содержит допустимого значения; Он содержит только «-».

Есть мысли / возможный обходной путь? Спасибо!

У меня есть приведенная ниже конфигурация logsta sh

input {
    s3 {
        bucket => "xxxxxxxx-elb-logs"
        prefix => "AWSLogs/xxxxxxxxxxxx/elasticloadbalancing/xx-west-x"
    region => "xx-west-x"
        type => "elblogs"
        codec => plain
    }
}

filter {
    if [type] == "elblogs" {
        grok {
            match => ["message", "%{TIMESTAMP_ISO8601:timestamp} %{NOTSPACE:elb_name} %{IP:elb_client_ip}:%{INT:elb_client_port:int} (?:%{IP:elb_backend_ip}:%{NUMBER:elb_backend_port:int}|-) %{NUMBER:request_processing_time:float} %{NUMBER:backend_processing_time:float} %{NUMBER:response_processing_time:float} (?:%{INT:elb_status_code:int}|-) (?:%{INT:backend_status_code:int}|-) %{INT:elb_received_bytes:int} %{INT:elb_sent_bytes:int} \"(?:%{GREEDYDATA:elb_request}|-)\" \"(?:%{GREEDYDATA:userAgent}|-)\" %{NOTSPACE:elb_sslcipher} %{NOTSPACE:elb_sslprotocol}"]
            match => ["message", "%{GREEDYDATA:event_name} for ELB: %{NOTSPACE:elb_name} at %{TIMESTAMP_ISO8601:timestamp}"]
        }
        if [elb_request] =~ /.+/ {
            grok {
                match => ["elb_request", "(?:%{WORD:http_method}) (?:%{DATA:http_path})? (?:% {DATA:http_type}/%{NUMBER:http_version:float})?|%{GREEDYDATA:rawrequest}"]
            }
        }
        if [http_path] =~ /.+/ {
            grok {
                match => ["http_path", "(?:%{WORD:http_path_protocol}://)?(% . {NOTSPACE:http_path_site}:)?(?:%{NUMBER:http_path_port:int})?(?:%{GREEDYDATA:http_path_url})?"]
            }
        }
        geoip {
            source => "elb_client_ip"
        }
    }
    date {
        match => [ "timestamp", "ISO8601" ]
    }
}

output {
    stdout { codec => rubydebug }
        elasticsearch {
            hosts => ["xxx.xxx.xxx.xxx:9200"]
            index => "logstash-xx-xxx-xxx-index"
        }
}

Значение агента пользователя - с AWS Журналы доступа ELB: