URI의 일부를 추출하기위한 grok 패턴

Question

나는 ELK 스택을 관리하고 elastalert에 대한 규칙을 작성하는 임무를 맡았지만, elastalert의 query_key 기능을 사용하기 위해 이미 자신의 필드로 가지고있는 한 필드의 특정 부분이 필요합니다. 그 분야. 우리는 여기에서이 규칙을 사용하고 있습니다 :

• https://github.com/hpcugent/logstash-patterns/blob/master/files/grok-patterns 내가 필요로하는 분야는 우리가 이미 잡을 URIPATHPARAM의 한 부분입니다 :

/path_field_1/UID/path_field_2/path_params

여기서 UID는 32 자의 고유 한 식별자 0-9, az, AZ입니다. 나는 Kibana의 전체 URI에 액세스 할 수 있지만, 결국 UID를 자체 필드로 사용하여 elastalert의 query_key를 사용할 수 있습니다. 이 UID를 포함하는 행 앞에 항상 "/ path_to_field_1 /"이옵니다.

총 초보자로서, 나는 이것을 달성하기위한 몇 가지 좋은 방법이 있을지 모르겠다. 그리고 나는 문서를 작성하고있다.

Answer 1

당신은 당신이 UID

grok { 
    match => { 
    "uri_field" => "/path_to_field_1/%{DATA:UID}/%{GREEDYDATA}" 
    } 
}