使用处理器过滤和增强数据
编辑使用处理器过滤和增强数据
编辑您可以在配置中定义处理器，以便在将事件发送到已配置的输出之前处理事件。libbeat 库提供用于以下方面的处理器：
- 减少导出的字段数量
- 使用附加元数据增强事件
- 执行其他处理和解码
每个处理器接收一个事件，对事件应用定义的操作，然后返回事件。如果您定义了一个处理器列表，则它们将按照在 Winlogbeat 配置文件中定义的顺序执行。
event -> processor 1 -> event1 -> processor 2 -> event2 ...
建议将所有现有字段的删除和重命名操作作为处理器配置的最后一步执行。这是因为删除或重命名字段可能会删除后续处理器链中必要的数 据，例如，删除source.ip字段将删除community_id处理器运行所需的字段之一。如果需要删除、重命名或覆盖现有事件字段，请确保通过相应的处理器(drop_fields、rename或add_fields)来完成此操作，并将该处理器放在输入配置中定义的处理器列表的末尾。
例如，以下过滤器配置删除了一些很少使用的字段（provider_guid、process_id、thread_id和version）和一个嵌套字段event_data.ErrorSourceTable。
processors:
- drop_fields:
fields: [winlog.provider_guid, winlog.process.pid, winlog.process.thread.id, winlog.version, winlog.event_data.ErrorSourceTable]