通过 Logstash 让 elasticsearch 使用 Bro 时间戳

Question

我在让 elasticsearch 解释 epoch millis 时间戳字段时遇到了一些问题。我有一些旧的兄弟日志，我想摄取并让它们按正确的顺序和间距排列。感谢Logstash filter to convert "$epoch.$microsec" to "$epoch_millis" 我已经能够将保存兄弟时间戳的字段转换为适当的数字长度。我还为该字段插入了一个映射到 elasticsearch，它说类型是“日期”，格式是默认值。但是，当我去查看条目时，它旁边仍然有一个小“t”而不是一个小时钟。因此我不能将它用于我在 kibana 中的过滤视图参考。

有人对此有任何想法或处理过吗？不幸的是，它是一个独立的系统，所以我必须手动输入我正在使用的任何配置。

在使用上面链接中描述的方法后，我确实尝试将我的字段“ts”转换回整数。所以在命中弹性搜索映射之前它应该是一个logstash整数。

Answer 1

所以我最终只删除了我在 Kibana 和 elasticsearch 中的所有映射。然后我重新提交，这一次成功了。一定是里面有一些旧垃圾把我弄乱了。但现在效果很好！