找出实际使用了哪些Grok筛选规则

Question

我有由Logstash / Grok过滤器规则解析的日志数据。不幸的是，我的日志消息的结构并没有被很好地记录下来，这导致了大约1000条过滤规则。这使得解析过程对于我们的目的来说太慢了。然而，我怀疑大多数数据是通过使用很少的规则来解析的。

• 我怎样才能知道什么规则被使用多久一次？
• 或者至少我能找出是否有任何规则根本不被使用？

Answer 1

如果你愿意去那里，你可以在你的筛选器中添加一个add_tag => [ 'filter42' ]。它将让您知道哪些过滤器正在工作，有多少过滤器是工作的，并提示哪些过滤器什么也不做。