官网地址 本文内容 语法 测试数据 可配置选项 参考资料 date 插件是日期插件,这个插件,常用而重要. 如果不用 date 插件,那么 Logstash 将处理时间作为时间戳.时间戳字段是 Logstash 自己添加的内置字段 @timestamp,在ES中关于时间的相关查询,必须使用该字段,你当然也可以修改该字段的值. 语法 该插件必须是用 date 包裹,如下所示: date { } 可用的配置选项如下表所示: 设置 输入类型 是否为必填 默认值 add_field hash No {}…

官网地址 本文内容 语法 测试数据 可选配置项 mutate 插件可以在字段上执行变换,包括重命名.删除.替换和修改.这个插件相当常用. 比如: 你已经根据 Grok 表达式将 Tomcat 日志的内容放到各个字段中,想把状态码.字节大小或是响应时间,转换成整型: 你已经根据正则表达式将日志内容放到各个字段中,但是字段的值,大小写都有,这对于 Elasticsearch 的全文检索来说,显然用处不大,那么可以用该插件,将字段内容全部转换成小写. 语法 该插件必须是用 mutate 包裹,如下所示…

时间处理(Date) 之前章节已经提过, filters/date 插件可以用来转换你的日志记录中的时间字符串,变成 LogStash::Timestamp 对象,然后转存到 @timestamp 字段里 output { if [type] == "zj_frontend_access"{ elasticsearch { hosts => "192.168.32.80:9200" index => "logstash-zjzc-fronten…

重点参考: http://blog.csdn.net/qq1032355091/article/details/52953837 logstash的精髓: grok插件原理 date插件原理 kv插件原理 日志默认情况 默认将日志内容赋给了message字段, logstash附加了@timestamp @version host 3个字段 { "@timestamp" => 2017-11-30T06:09:09.625Z, "@version" =>…

"@version" => "1", "@timestamp" => "2016-09-12T08:31:06.630Z", "path" => "/data01/applog_backup/winfae_log/wj-frontend01-access.2016-09-12", "host" => "dr-mysql01.zjcap…

重点参考: http://blog.csdn.net/qq1032355091/article/details/52953837 不得不说这是一个伟大的项目实战,是正式踏入logstash门槛的捷径 Logstash的使用 logstash支持把配置写入文件 xxx.conf,然后通过读取配置文件来采集数据 ./bin/logstash –f xxx.conf logstash最终会把数据封装成json类型,默认会添加@timestamp时间字段.host主机字段.type字段.原消息数据会整个…

logstash语法 http://www.ttlsa.com/elk/elk-logstash-configuration-syntax/ https://www.elastic.co/guide/en/logstash/current/event-dependent-configuration.html logstash grok原理 参考: https://www.kancloud.cn/hanxt/elk/155901 https://www.elastic.co/guide/en/lo…

写在前面:在做ELK logstash 处理MySQL慢查询日志的时候出现的问题: 1.测试数据库没有慢日志,所以没有日志信息,导致 IP:9200/_plugin/head/界面异常(忽然出现日志数据,删除索引后就消失了) 2.处理日志脚本问题 3.目前单节点   配置脚本文件/usr/local/logstash-2.3.0/config/slowlog.conf[详细脚本文件见最后]   output {   elasticsearch {     hosts => "115.28.…

处理原始日志 日志从moogoo导出来的 { "mobile" : "13612345678", "isp" : "中国移动_广东", "time" : ISODate("2017-10-16T18:39:51.245Z"), "success" : true } 要解决时间问题: logstash修改时间 发现日志已是json格式,想用date插件实现time字段赋…

filebeat安装dashboard 参考: https://www.elastic.co/guide/en/beats/filebeat/current/filebeat-getting-started.html 发现安装时候报错 ./filebeat setup --dashboards ./filebeat -e --modules nginx ./filebeat -e --modules system,nginx,mysql 解决: vim filebeat.yaml 仅仅写入下面内…