хотел знать, у меня есть журнал с 2 различными шаблонами Грока ... я хотел бы добавить это в заявлении IF - PullRequest
Новая
       17

хотел знать, у меня есть журнал с 2 различными шаблонами Грока ... я хотел бы добавить это в заявлении IF

0 голосов
/ 09 мая 2019

У меня есть 2 шаблона в одном журнале, и я хотел поместить это в шаблон grok с помощью оператора if 

1.%{LOGLEVEL:log} \[%{DATA:class}\] %{NOTSPACE:Property} %{SPACE} %{NOTSPACE} %{NOTSPACE} (?<id>[^ ]*) %{NOTSPACE} %{NOTSPACE} %{IPORHOST:ip}


2.%{LOGLEVEL:log} \[%{DATA:class}\] %{NOTSPACE:Property}:\ %{SPACE} %{NOTSPACE} %{DATA:symbol},%{SPACE} %{NOTSPACE},%{SPACE} %{NOTSPACE},%{SPACE} %{DATA:buyBrokerId},%{SPACE} %{NOTSPACE},%{SPACE} %{NOTSPACE},%{SPACE} %{NOTSPACE},%{SPACE} %{NOTSPACE},%{SPACE} %{DATA:price},%{SPACE} %{NOTSPACE},%{SPACE} %{NOTSPACE},%{SPACE} %{DATA:buyFee},%{SPACE} %{DATA:sellFee},

1 Ответ

0 голосов
/ 09 мая 2019 
if [type] == "" {
    grok {
      match => { "message" => ["%{LOGLEVEL:log} \[%{DATA:class}\] %{NOTSPACE:Property} %{SPACE} %{NOTSPACE} %{NOTSPACE} (?<id>[^ ]*) %{NOTSPACE} %{NOTSPACE} %{IPORHOST:ip}" , "%{LOGLEVEL:log} \[%{DATA:class}\] %{NOTSPACE:Property}:\ %{SPACE} %{NOTSPACE} %{DATA:symbol},%{SPACE} %{NOTSPACE},%{SPACE} %{NOTSPACE},%{SPACE} %{DATA:buyBrokerId},%{SPACE} %{NOTSPACE},%{SPACE} %{NOTSPACE},%{SPACE} %{NOTSPACE},%{SPACE} %{NOTSPACE},%{SPACE} %{DATA:price},%{SPACE} %{NOTSPACE},%{SPACE} %{NOTSPACE},%{SPACE} %{DATA:buyFee},%{SPACE} %{DATA:sellFee},"] }
    }
  }
...