简单系统日志的 Grok 模式

Question

我使用的是 7.2.0 和 filebeat 7.2.0 的 ELK 设置。 现在我在 filebeata 中启用了系统模块，并且我尝试在 Logstash 中使用简单的 grok，

input {
  beats {
    port => 5044
    ssl  => false
  }
}
filter {
  if [fileset][module] == "system" {
          grok {
        match => { "message" => "%{SYSLOGLINE}"}
}
}
output {
  elasticsearch {
    hosts => ["10.16.5.24:9200"]
    index => "rehatsystemlogs"
}
        stdout { codec => rubydebug }
}

示例日志：Nov 17 08:01:01 strproelk02 systemd: Removed slice User Slice of root.

现在，当我在 https://grokdebug.herokuapp.com/ 中检查 %{SYSLOGLINE} 以获取此示例日志时，我能够通过我的日志拆分获得正确的输出。

但是当我执行我的 logstash 时，单独的列不会在我的 ES 索引中拆分。

我哪里错了？

Answer 1

缺少大括号，过滤器结束，

 input {
  beats {
    port => 5044
    ssl  => false
  }
}
filter {
      grok {
        match => { "message" => "%{SYSLOGLINE}"}
       }
    }
output {
  elasticsearch {
    hosts => ["10.16.5.24:9200"]
    index => "rehatsystemlogsdata"
}
        stdout { codec => rubydebug }
}