Logstash 문제

Question

나는 다음과 같은 로그 항목이 있습니다

내가 할 노력하고있어 무엇

2017-08-29 01:10:11.111 [http-noo-111-exe-1] TRACE com.javasystemsolutions.xml.gateway.Actions - The XML Gateway encountered an error. The message was Server with id OPA is not configured. 

The template in use was TEST_Create_Incident_elkmonitoring. 

The server in use was OPA. 

The input XML was <incident> 
     <summary>Test Monitoring - Summary</summary> 
     <notes>Test Monitoring - Summary</notes> 
     <product>ELK FAQ</product> </incident> com.javasystemsolutions.xml.gateway.ServerNotFoundException: Server with id OPA is not configured 
     at com.javasystemsolutions.xml.gateway.input.PostActions.doPost(PostActions.java:215) [jss-xmlgateway.jar:?] 
     at com.javasystemsolutions.xml.gateway.input.PostActions.postAction(PostActions.java:86) [jss-xmlgateway.jar:?] 

, 정규식을 사용하고 입사 태그 사이의 텍스트를 식별하는 것입니다, 그러나 보인다 뭔가 잘못이다 내 정규 표현식은 regex101 웹 사이트에서 작동하지만 configtest는 Configuration OK를 반환합니다. 내 설정이 아래에 있습니다. 누군가가 잘못된 점을 알고 있습니까?

# The # character at the beginning of a line indicates a comment. Use 
# comments to describe your configuration. 
input { 
    file { 
     type => "logs" 
     path => "C:/logs/*.log" 
     add_field => [ "Application", "ELK_GW_Test" ] 
     add_field => [ "secret", "1234" ] 
     start_position => beginning 

     codec => multiline { 
      pattern => "(^%{TIMESTAMP_ISO8601})" 
      #negate => true 
      what => "previous" 
     } 
    } 
} 
filter { 
    #multiline { 
     #pattern => "(^%{TIMESTAMP_ISO8601})" 
     #negate => true 
     #what => "previous" 
    #} 
    #if "_grokparsefailure" in [tags] { 
     #drop { } 
    #} 
    if [host] == "host1" { 
     grok { 
      match => { "message" => "%{TIMESTAMP_ISO8601:timestamp} %{NOTSPACE} %{LOGLEVEL:Severity} %{GREEDYDATA:log_message}"} 
     } 
     grok { 
     match => {"message" => "<incident>(?<incident>[\s\S]*)</incident>"} 
    } 
    } 
} 
output { 
    tcp { 
     host => "host1.com" 
     port => 1234 
     codec => "json_lines" 
    } 
    #if "The message was Server with id " in [log_message] { 
    #email { 
      #from => "log-mailer@XYZ.com" 
      #subject => "Central logstash alert" 
      #to => "my_email@ABC.com" 
      #via => "smtp" 
      #body => "The incident details are: %{incident} \nLog file: %{path}" 
      #options => { 
       #starttls => "true" 
       #smtpIporHost => "email.XYZ.com" 
       #port => "587" 
       #userName => "log-mailer@XYZ.com" 
       # email-server-mail-id 
       # password => "password" 
       #authenticationType => "LOGIN" 
      #} 
     #} 
    #} 
} 

Answer 1

구성의이 부분은 잘못된 것입니다 :

grok { 
     match => ["requested_incident", "(?s)<incident>.+?</incident>"] 
    } 

대신이 시도 :

grok { 
     match => {"message" => "<incident>(?<incident>[\s\S]*)</incident>"} 
    } 

나는 메시지 필드에서 검색하는 사용자 정의 패턴을 사용했습니다. 발견 된 것은 사건이라고 불리는 분야에 들어갑니다.