使用grok模式从消息中跳过一部分

Question

我们如何从grok中的模式中提取会话ID号例如"sessionid$:999"

我正在尝试使用%{DATA:line}但它得到了

  "line": [
    [
      " Sessionid$:999"
    ]

如何获取会话号而忽略其中的"sessionId$"

谢谢

Answer 1

尝试一下：

GROK模式：

Sessionid.\s*:%{NUMBER:line}

输出：

{
  "line": [
    [
      "999"
    ]
  ],
  "BASE10NUM": [
    [
      "999"
    ]
  ]
}