logstash grok parse erreur date format

Question

Je suis assez nouveau à logstash donc cela peut être une erreur simple, mais je ne suis pas en mesure de trouver où mon erreur est. J'ai installé logstash et j'essaye d'analyser certains journaux que je génère à partir d'un programme java personnalisé. Je suis à la recherche d'une ligne spécifique tout à fait:

ERROR ProcessStatus 05/24/2017 12:13:58 RETC:0 : Request.evaluate:PDP Response decision: Permit 
ERROR ProcessStatus 05/24/2017 12:13:58 RETC:0 : Request.evaluate:PDP Response decision: NotApplicable 

J'ai défini le fichier de configuration suivante:

input { 
    file { 
     type => "log" 
     path => [ "/var/log/tomcat7/catalina.out" ] 
    } 
} 

filter { 
    grok { 
     match => [ "message" , "%{WORD:text1} %{WORD:text2} \[%{DATA:date}\] %{WORD:text3}:%{NUMBER:num1} : %{WORD:text4}.%{WORD:text5}:%{WORD:text6} %{WORD:text7} %{WORD:text8} %{WORD:decision}"] 
     remove_field => [ "message" ] 
    } 
    date { 
     match => [ "timestamp", "MM/dd/YYYY HH:mm:ss" ] 
     remove_field => [ "timestamp" ] 
    } 
} 

output { 
    stdout { 
    codec => rubydebug 
    } 
} 

Lorsque la ligne est reçue dans le fichier journal, je reçois une erreur d'analyse:

{ 
      "path" => "/var/log/tomcat7/catalina.out", 
    "@timestamp" => 2017-05-24T14:31:18.494Z, 
     "@version" => "1", 
      "host" => "acio-web01", 
     "message" => "ERROR ProcessStatus 05/24/2017 16:31:17 RETC:0 : Request.evaluate:PDP Response decision: Indeterminate", 
      "type" => "log", 
      "tags" => [ 
     [0] "_grokparsefailure" 
    ] 
} 

Je suis suspect que l'erreur d'analyse a quelque chose à voir avec le format de date, mais je n'ai pas été en mesure de trouver une façon correcte de le définir. Une idée de ce que je fais mal?

Answer 1

Votre motif de rainures ne correspond pas à vos données. Dans le message affiché, il n'y a pas de [] autour de la date, mais votre modèle suppose qu'il y en a.

Vous pouvez coller votre ligne de journal et votre motif au https://grokdebug.herokuapp.com/ et jouer avec jusqu'à ce qu'il corresponde.