Пытаюсь написать регулярное выражение фильтра logstash grok для лога своего web приложения Сам лог формата:
2015-12-02 14:5728,763 POST 1.1.1.1 627472 start_one windows 7 x64
Расшифровка:
Дата метод адрес число функция система
С "нормальным" логом я справиться
%{TIMESTAMP_ISO8601:date} %{WORD:method} %{IPV4:client} %{NUMBER:size} %{WORD:def} (?<VerOs>.*)
На выходе имеем
{
"date": [
"2015-12-02 14:5728,763"
],
"method": [
"POST"
],
"client": [
"1.1.1.1"
],
"size": [
"627472"
],
"def": [
"start_one"
],
"VerOs": [
"windows 7 x64"
]
}
А вот с логом, в котором есть ошибка или пустая переменная, не могу
лог с ошибкой:
2015-12-3 12:16:43,631 POST 2.2.2.2 637263 error=Bad request -
2015-12-3 12:16:43,631 POST 2.2.2.2 error=No found this address - -
2015-12-3 12:16:46,631 GET - - -
2015-12-3 12:16:46,631 POST 3.3.3.3 del -
Хотелось бы изменить имена переменных в поле где встретилась ошибка на error а пустые поля (обозначенные символом "-") исключить из фильтрации
Хочу получить примерно такой результат. Могу и логирование в системе изменить
{
"date": [
"2015-12-02 14:5728,763"
],
"method": [
"POST"
],
"client": [
"1.1.1.1"
],
"size": [
"627472"
],
"error": [
"Bad request"
]
}