【发布时间】：2015-06-13 08:44:39
【问题描述】：
我正在使用 elk 堆栈来分析日志数据，并且必须处理大量日志数据。 看起来所有的日志都可以用logstash/grok解析。
有没有办法用 kibana 搜索无法解析的日志？
【问题讨论】：
标签： logstash kibana grok kibana-4
【发布时间】：2015-06-13 08:44:39
【问题描述】：
如果您的 grok{} 未能匹配您提供的模式之一，它将设置一个名为“_grokparsefailure”的标签。你可以搜索这个：tags:_grokparsefailure
如果您有多个 grok{} 过滤器，建议使用 tag_on_failure 参数为每个 grok 设置不同的标签，这样您可以更快地识别导致问题的节。
【讨论】：