我有这种日志
21.4.1.2--[28 / Dec / 2016:12:18:40 +0000]“GET a / b / c / d / e / f HTTP / 1.1” 200984072“Mozilla / 5.0(Windows NT 10.0; WOW64) AppleWebKit / 537.36(KHTML，例如Gecko)Chrome / 55.0.2883.87 Safari / 537.36“0.104 0.103。
现在，我应该如何使用grok模式提取此内容？
我也不知道字段的数量，即rest api也可以是a / b / c和a / b / c / d / e / f / g。我应该如何处理以便可以在基巴纳语中按a，b或c分组。
最佳答案
如果深度已知，则可以将URL字段重新添加到这些字段中。
如果存在任意深度，则可以使用mutate-split进行排列，但是它们不会有用。
csv {}过滤器怎么样？该过滤器可以使用“/”作为分隔符，并产生一堆名为“column1”，“column2”等的字段？
关于rest - 什么是在Logstash中提取Rest API的正确方法，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/41363229/