LogStash 中的解析错误“_grokparsefailure”答案

【问题标题】：Parsing error "_grokparsefailure" in LogStashLogStash 中的解析错误“_grokparsefailure”
【发布时间】：2016-06-07 13:53:39
【问题描述】：

起初我从 syslog 中显示 Kibana 中的日志，它运行良好。我根据文档进行了设置。

现在我已经更改了日志的来源，现在它从我的 Web 应用程序中检索日志，虽然 Kibana 仍然可以正确显示它们，但现在有标签“_grokparsefailure”，这意味着解析时出错日志。

我当前的过滤器：

filter {
  if [type] == "syslog" {
    grok {
      match => { "message" => "%{SYSLOGTIMESTAMP:syslog_timestamp} %{SYSLOGHOST:syslog_hostname} %{DATA:syslog_program}(?:\[%{POSINT:syslog_pid}\])?: %{GREEDYDATA:syslog_message}" }
      add_field => [ "received_at", "%{@timestamp}" ]
      add_field => [ "received_from", "%{host}" ]
    }
    syslog_pri { }
    date {
      match => [ "syslog_timestamp", "MMM  d HH:mm:ss", "MMM dd HH:mm:ss" ]
    }
  }
}

如何找出解析错误的位置？是否有在线服务可以帮助我为我的新日志创建一个 grok 模式？还有其他建议吗？

更新：日志在 json 中。

【问题讨论】：

您是在寻求帮助解析logstash中的json日志吗？提供一两个示例日志确实对您有很大帮助。
另外，您还有 3 个问题和一个编辑，您似乎在寻求帮助，请明确提出一个问题，以便我们解决该问题

标签： json logging kibana elastic-stack grok

【解决方案1】：

响应 OP 的：

是否有在线服务可以帮助我为我的新日志创建一个 grok 模式？

我最喜欢的测试 grok 模式的工具是： http://grokconstructor.appspot.com/do/match

但我知道有些人更喜欢：https://grokdebug.herokuapp.com/

您的日志可能无法正确解析，因为您在不是 syslog 格式的日志上使用了 syslog 模式。

编辑：对于 json 日志解析，您可能需要查看 json filter 或 json codec

【讨论】：