logstash grok - 如何进行条件模式匹配？

Question

我在同一个日志文件中有这三个日志行：

INFO [2015-08-27 18:46:14,279] ({qtp243745864-44} NotebookServer.java[onMessage]:101) - RECEIVE << RUN_PARAGRAPH
INFO [2015-08-27 18:46:14,322] ({qtp243745864-44} NotebookServer.java[broadcast]:253) - SEND >> NOTE
INFO [2015-08-27 18:46:16,809] ({pool-1-thread-2} RemoteInterpreter.java[init]:144) - Create remote interpreter org.apache.zeppelin.markdown.Markdown

我想使用grok解析它们但未能获得正确的字段：1）如何解析括号内的数据？ 2）日志行的最后一部分是示例中的（CMD方向cmd_data）或（cmd信息）：

cmd=Receive or SEND
cmd_direction=<< or >>
cmd_data=RUN_PARAGRAPH or NOTE

但最后一行是CMD信息，它不符合相同的格式。

我试图找到匹配第一和第二但不是第三的正确规则。最终结果应该是or（cmd + cmd_data）还是（cmd_info）字段有什么帮助吗？

Answer 1

Logstash在配置文件中有条件，因此您可以有条件地匹配事物。

例如：

if ([mesage] =~ /(RECEIVE|SEND)/) {
   grok {
      // do your grok here
   }
} else if ([message] =~ /RemoteInterpreter/) {
   grok {
      // do some other grok here
   }
}

如果你需要帮助那些groks应该是什么，尝试使用grok debugger

Answer 2

我有类似的问题......

它帮助了我：

if ("SEND" in [message]) {
   grok {
      // do your grok here
   }
}