Logstash keep syslog host

Question

私はsyslogサーバとELKスタックを同じサーバに持っています。 syslogソースごとにディレクトリがあります。 Logstashでsyslogファイルを解析しようとしていますが、 "host"フィールドにsyslogソースのIPアドレスまたはホスト名を保存します。現時点では、Logstashの解析後に0.0.0.0のソースがあります。

マイlogstash.conf：あなたはそれを解析された後

input { 
    file { 
    path => ["path/to/file.log"] 
    start_position => "beginning" 
    type => "linux-syslog" 
    ignore_older => 0 
    } 
} 

filter { 
    if [type] == "linux-syslog" { 
    grok { 
     match => {"message" => "<%{POSINT:syslog_pri}>%{SYSLOGTIMESTAMP:syslog_timestamp} %{SYSLOGHOST:syslog_hostname} %{DATA:syslog_program}(?:[%{POSINT:syslog_pid}])?: %{GREEDYDATA:syslog_message}" } 
    } 
    } 
} 

output { 
    elasticsearch { 
    hosts => ["@IP_Elastic:Port_Elastic"] 
    } 
stdout { codec => rubydebug } 
} 

Answer 1

あなたのIP変数を使用してホストを上書きすることができます。この例を考えてみましょう：

Pipeline main started 
{"ip":"1.2.3.4"} 
{ 
     "message" => "{\"ip\":\"1.2.3.4\"}", 
     "@version" => "1", 
    "@timestamp" => "2016-08-10T13:36:18.875Z", 
      "host" => "pandaadb", 
      "ip" => "1.2.3.4", 
     "@host" => "1.2.3.4" 
} 

私はIPを取得するためにJSONを解析しています。次に、IPフィールドをホストに書き込みます。

フィルタ：

filter { 
    # this parses the ip json 
    json { 
     source => "message" 
    } 

    mutate { 
     add_field => { "@host" => "%{ip}" } 
    } 
} 

どんなフィールドで％{IP}を置き換えるあなたのIPアドレスが含まれています。

乾杯、 アルトゥル