Разбор журналов с использованием Elastic Search - PullRequest
Новая
       14

Разбор журналов с использованием Elastic Search

0 голосов
/ 22 апреля 2019

Я пытаюсь проанализировать журналы Cisco ASA, которые я получаю, но я хочу, чтобы определенные журналы были проанализированы, сохранены и показаны на Kibana.Я написал код, но он по-прежнему показывает много журналов, которые я не хочу.Я не уверен, почему он не анализирует код должным образом, у меня есть ощущение, что это переменная, которую я пытаюсь найти.ASA-6-106100

`

filter {
    if [type] == "syslog" {
        if [%{GREEDYDATA:syslog_message}] =~ \b(\w*ASA-[1-4]\w*)\b {
            grok {
                match => { "message" => "%{SYSLOGTIMESTAMP:syslog_timestamp} %{SYSLOGHOST:syslog_hostname} %{DATA:syslog_program}(?:\[%{POSINT:syslog_pid}\])?: %{GREEDYDATA:syslog_message}" }
                add_field => [ "received_at", "%{@timestamp}" ]
                add_field => [ "received_from", "%{host}" ]
            }
            date {
                match => [ "syslog_timestamp", "MMM  d HH:mm:ss", "MMM dd HH:mm:ss" ]
            }
        }
        else if [%{GREEDYDATA:syslog_message}] =~ \b(\w*106100\w*)\b {
            grok {
                match => { "message" => "%{SYSLOGTIMESTAMP:syslog_timestamp} %{SYSLOGHOST:syslog_hostname} %{DATA:syslog_program}(?:\[%{POSINT:syslog_pid}\])?: %{GREEDYDATA:syslog_message}" }
                add_field => [ "received_at", "%{@timestamp}" ]
                add_field => [ "received_from", "%{host}" ]
            }
            date {
                match => [ "syslog_timestamp", "MMM  d HH:mm:ss", "MMM dd HH:mm:ss" ]
            }
        }
        else {
            break_on_match
        }
    }
}

`

...