Início / server / Perguntas / 838654
Accepted
Garreth McDaid
Asked: 2017-03-17 04:30:18 +0800 CST

Codec multilinha Logstash para stacktraces Java

  • 772

A documentação do logstash indica que você pode recolher as várias linhas recuadas em uma entrada de log de rastreamento de pilha Java em um único evento usando o codec multilinha:

https://www.elastic.co/guide/en/logstash/current/plugins-codecs-multiline.html

input {
   syslog {
       type => syslog
       port => 8514
       codec => multiline {
            pattern => "^\s"
            what => "previous"
       }
  }
}

Isso se baseia em logstash encontrar um recuo no início da linha e combiná-lo com a linha anterior.

No entanto, a documentação do logstash é o único lugar onde posso encontrar uma referência a isso. A comunidade geral de usuários parece estar usando elaborados filtros grok para obter o mesmo efeito.

Eu tentei o padrão de indentação básico fornecido pelo logstash, mas não funcionou. Alguém mais conseguiu fazer isso funcionar combinando o padrão de indentação?

java logstash grok

1 respostas

  1. Best Answer

    Sim, embora não com a syslog {}entrada. Eu fiz isso com os file {}logs de entrada e Tomcat. Se os stacktraces estão entrando no syslog com um novo evento em cada linha, e ainda tendo o prefixo syslog usual de datastamp e tal, reagrupá-los em um stackdump unitário se torna muito mais difícil. Ainda pode ser feito, mas requer filtros muito mais extensos.

    1. O codec de entrada não é multilinha; no caso de um evento por linha, o codec multilinha não pode lidar com isso.
    2. Um filtro Grok para dividir a mensagem syslog em partes, levando a parte SYSLOGMESSAGE para seu próprio campo.
    3. Usando o multiline {}filtro no campo SYSLOGMESSAGE para remontar seu stackdump.
    4. Use um e apenas um filtro de trabalho ( -wsinalizador), é a única maneira de garantir que todo o stacktrace seja reunido.

    Se possível, é melhor usar o file {}codec no arquivo em que os rastreamentos de pilha são emitidos e usar o método de indentação que você já encontrou.

    • 0

relate perguntas