使用Logstash过滤插件Grok实现多模式匹配

最新推荐文章于 2025-07-04 14:45:43 发布

Jiangxl~

最新推荐文章于 2025-07-04 14:45:43 发布

阅读量2.1k

点赞数 8

CC 4.0 BY-SA版权

分类专栏：《ELKStack从入门到精通》文章标签：前端 javascript 服务器 elk

本文链接：https://blog.csdn.net/weixin_44953658/article/details/125758749

《ELKStack从入门到精通》专栏收录该内容

19 篇文章 ¥19.90 ¥99.00

订阅专栏

超级会员免费看

本文介绍了如何使用Logstash的Grok过滤插件处理包含多种格式的日志数据。通过配置多个正则表达式模式，来兼容并匹配日志文件中的不同格式，确保所有可能的数据类型都能被正确解析。示例展示了针对不同日志内容的正则编写和Logstash配置，从而成功匹配不同类型的数据字段。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

使用Logstash过滤插件Grok实现多模式匹配

一个日志文件很有可能存在多种不同数据格式的日志，tomcat的日志文件中就存在多种不同格式的日志数据。

我们需要兼容几种不同格式的日志，就需要使用到grok的多模式匹配了，针对日志数据字段的不同，配置多种格式的正则表达式，将可能出现的数据格式全部都配置一个正则模式，日式数据采集以后，首先使用第一个正则模式去匹配，不兼容则使用第二个正则去匹配，直到最终匹配到对应的内容。

grok多模式语法格式：

grok {
	mastch => [
		"message","%{IP:client_ip}",
		"message","%{IP:client_ip} %{WORD:request_type}"
	]
}

mastch从{}变成了[]
字段间的不同表达式以,进行分隔
原来的字段名称后面是=>改成,

案例：

模拟数据："10.1.1.1 GET /subsaji/akshd/sadjhi/index 1726 0.124 521123"

192.168.223.223 GET /resource/js/iuys.png 876 1.23 xyszs 12345"

采集这两种不同内容格式的日志数据

1）首先编写正则表达式分别匹配出两个数据的字段