Filebeat多行模式

Question

enter image description here

在日志消息的图片堆栈跟踪中，取新的日志行，我希望它们在一个日志中。如何做到这一点？这是我的模式

  multiline.pattern: '^[[:space:]]'
  multiline.negate: false
  multiline.match: after

Answer 1

从截图中提供的日志示例中，似乎每个新事件都是以日期开始的，因此应该可以使用如下所示的多行模式。

multiline.type: pattern
multiline.pattern: '^[0-9]{4}-[0-9]{2}-[0-9]{2}'
multiline.negate: true
multiline.match: after

我以前也做过类似的事情来获取IBM BPM系统日志，并且不得不将multiline.max_lines增加到1000，因为默认的500不足以获取整个堆栈跟踪。