如何改进庞大的Logstash "If语句“

Question

我的logstash实例正在读取sysmon事件(从nxlog以json提供)，并在操作一些字段后将它们存储在elasticsearch中。

我想要创建一个基于sysmon事件类型的值的新字段。我可以使用字段任务来确定我正在接收的sysmon事件(1到9)。但我最后得到了一个巨大的if/ with语句。

我希望能够建立一些本地数组：

EventObject=>['process','file','flow','sysmon']

然后，使用以下内容创建一个新字段

mutate { add_field => {"object" => EventObject[$Task]}}

相反，我有这个

if [Task] == 1 { 
       mutate {
        add_field => {"object" => "process"}
       }


   } else if [Task] == 2 {
   mutate{
      add_field => {"object" => "file"}  

   } else if [Task] == 3 {
   mutate{
      add_field => {"object" => "flow"}  

   } else if [Task] == 4 {
         etc....
enter code here

怎样才是正确的方法？我试图使我的logstash配置易于阅读和减少行数。

Answer 1

你想要平移滤波器。