ELK LDAP日志过滤

Question

两件事:我们的日志看起来像这样-

May 11 06:51:31 ldap slapd[6694]: conn=1574001 op=1 SRCH base="cn=s_02,ou=users,o=meta" scope=0 deref=0 filter="(...)"

​

我需要1)获取时间戳，并将其设置为Kibana的discover面板中左侧的" time“列；2)获取连接后的数字，并将其设置为字段，以便能够按数字进行排序。我花了一整天的时间研究，日期和变异看起来很有希望，但我还没有能够正确地实现它们。

​

配置文件如下所示：

​

​

input {
   file {
      path => "/Desktop/logs/*.log"
      type => "log"
      sincedb_path => "/dev/null"
   }
}

output {

  elasticsearch {
    hosts => "127.0.0.1"
    index => "logstash-%{type}-%{+YYYY.MM.dd}"
  }

  file {
    path => "/home/logsOut/%{type}.%{+yyyy.MM.dd.HH.mm}"
  }
}

Answer 1

如果您只需要这两个字段作为单独的字段：

filter {
    grok {
        match => { 
            "message" => [ "%{SYSLOGBASE} conn=%{INT:conn}" ]
        }
    }

    date {
        match => [ "timestamp", "MMM dd HH:mm:ss" ]
        target => "time"
    }

    mutate {
        convert => { "conn" => "integer" }
    }
}