Grok 模式、日期和时间格式

Question

我有以下消息的日志输出；

[event] 02/05 09:20:01.8 PM message description

[event] 10/26 09:42:27.0 AM message description

如何使用grok获取上述格式的日期和时间

日期是 02/05，即 mm/dd。年份没有定义，但并不重要，因为我知道它是 2020 年，因此无需定义它

时间如上例，可以是下午和上午

如何使用 grok 获取日志存储中的日期和时间

我试过了

 %{TIME:timestamp} %{GREEDYDATA:Description} 

但这仅将时间戳捕获为 09:20:01.8，不包括 PM。换成24小时就好了。

Answer 1

您可以定义自定义模式以匹配整个日期/时间

grok {
    pattern_definitions => { "MYTIME" => "%{MONTHNUM}/%{MONTHDAY} %{TIME} [AP]M"
    match => { "message" => "%{MYTIME:timestamp}" }
}