New

The executive guide to generative AI

Read more
About usPartnersSupport|Login
« 检测 MIME 类型 DNS 反向查找 »
Elastic 文档 ›Filebeat 参考 [8.17] ›配置 Filebeat ›使用处理器过滤和增强数据

剖析字符串

编辑

剖析字符串

编辑

dissect 处理器使用定义的模式对传入的字符串进行标记化。

processors:
  - dissect:
      tokenizer: "%{key1} %{key2} %{key3|convert_datatype}"
      field: "message"
      target_prefix: "dissect"

dissect 处理器具有以下配置设置

tokenizer
用于定义剖析模式的字段。可以使用 | 作为分隔符在键之后提供可选的数据类型转换，以将值从字符串转换为整数、长整数、浮点数、双精度数、布尔值或 IP。
field
（可选）要标记化的事件字段。默认为 message。
target_prefix
（可选）将提取值的字段的名称。当定义为空字符串时，处理器将在事件的根目录创建键。默认为 dissect。当目标键已存在于事件中时，处理器不会替换它并记录错误；您需要在使用剖析之前删除或重命名该键，或者启用 overwrite_keys 标志。
ignore_failure
（可选）控制当 tokenizer 无法匹配消息字段时处理器是否返回错误的标志。如果设置为 true，处理器将静默地恢复原始事件，允许执行后续处理器（如果有）。如果设置为 false（默认），处理器将记录错误，阻止执行其他处理器。
overwrite_keys
（可选）当设置为 true 时，处理器将覆盖事件中现有的键。默认值为 false，这会在键已存在时导致处理器失败。
trim_values

（可选）启用对提取的值进行修剪。用于删除前导和/或尾随空格。可能的值有

  • none:（默认）不执行修剪。
  • left: 值在左侧（前导）被修剪。
  • right: 值在右侧（尾随）被修剪。
  • all: 值在左侧和右侧（前导和尾随）都被修剪。
trim_chars
（可选）当启用修剪时，要从值中修剪的字符集。默认值是修剪空格字符 (" ")。要修剪多个字符，只需将其设置为包含要修剪的所有字符的字符串。例如，trim_chars: " \t" 将修剪空格和/或制表符。

为了成功进行标记化，必须找到并提取所有键，如果其中一个键无法找到，将记录错误并且不会对原始事件进行修改。

键可以包含除保留的后缀或前缀修饰符之外的任何字符：/、&、+、# 和 ?。

有关支持的条件列表，请参阅 条件。

剖析示例

编辑

在此示例中，假设应用程序生成以下消息

"321 - App01 - WebServer is starting"
"321 - App01 - WebServer is up and running"
"321 - App01 - WebServer is scaling 2 pods"
"789 - App02 - Database is will be restarted in 5 minutes"
"789 - App02 - Database is up and running"
"789 - App02 - Database is refreshing tables"

使用 dissect 处理器将每条消息拆分为三个字段，例如 service.pid、service.name 和 service.status

processors:
  - dissect:
      tokenizer: '"%{service.pid|integer} - %{service.name} - %{service.status}"'
      field: "message"
      target_prefix: ""

此配置生成如下字段

"service": {
  "pid": 321,
  "name": "App01",
  "status": "WebServer is up and running"
},

service.name 是 ECS 关键字字段，这意味着您可以在 Elasticsearch 中使用它进行过滤、排序和聚合。

如果可能，请使用与 ECS 兼容的字段名称。有关更多信息，请参阅 Elastic Common Schema 文档。

« 检测 MIME 类型 DNS 反向查找 »

On this page

Was this helpful?
Feedback