通过匹配对邮件进行分组？

Question

我有很多这样的消息：

Error GetMilesFromLocationService(Eastvale, CA,Yorkshire, NY,1561517,19406,True.)

问题在于它们因城市名称而独特。在Kibana Visualization中，是否可以将这些组合成“Error GetMilesFromLocationService”消息？这是我的度量视觉的一个例子。理想情况下，它们都会排在一排。

这些可以通过正则表达式匹配轻松分组。

当然，我可以使用Logstash添加一个新字段，但如果Kibana能够这样做，我会很高兴。

谢谢！

Answer 1

使用grok filter解析邮件并从中提取字段。至少，您需要将“Error GetMilesFromLocationService”提取到单独的字段（可能是error_type？）以允许聚合。或者最好将“GetMilesFromLocationService”提取到function字段中？在不知道日志消息结构的情况下，提供坚定的建议很难。

此grok过滤器提取error_type字段：

filter {
  grok {
    match => [
      "message",
      "^(?<error_type>Error %{WORD})"
    ]
  }
}