如何使用自定义 Logstash grok 模式？答案

【问题标题】：How to use custom Logstash grok patterns?如何使用自定义 Logstash grok 模式？
【发布时间】：2018-06-28 08:22:02
【问题描述】：

我在 Debian 9 上使用 Logstash，我想使用自定义 grok 模式。所以我将它们添加到目录/usr/share/logstash/vendor/bundle/jruby/2.3.0/gems/logstash-patterns-core-4.1.2/patterns - 创建新文件并修改现有文件（grok-patterns、auth 等）。

问题是我对原始文件的更改已被覆盖并丢失（2018 年 6 月 12 日凌晨 02:35）。

logstash-patterns-core 有自动更新吗？如何更改现有的 grok 模式？

【问题讨论】：

标签： logstash elastic-stack logstash-grok

【解决方案1】：

不幸的是，您修改文件的目录结构是二进制文件。您根本不需要修改任何文件来添加自定义模式。请看Logstash Directory layout here。

您可以在/etc/logstash 下创建一个新目录，命名为pattern，然后在其中添加您的自定义模式，而不是修改或添加二进制路径下的文件。

然后您可以按如下方式导入自定义模式，

filter {
    grok {
        patterns_dir => "../patterns"
        match =>["message", "%{ANYPATTERN}" ]
    }
}

【讨论】：

如果我想覆盖原始模式，可以这样吗？是否可以只指定一次 patterns_dir （我使用了很多 grok 部分）？谢谢！
没错，自定义模式优先于默认模式。因此，如果您在核心目录和自定义目录中有一个模式，则将应用自定义目录中的一个。因此，根本不需要修改您的默认模式。
你还需要定义patterns_dir，每次使用grok过滤器