查找日志文件的 grok 模式

Question

我有一个格式如下的日志文件：

net.ipv4.tcp_keepalive_time = 30

我尝试编写一个 grok 文件，但无法正确编码表达式的 = 30 部分。

这是我目前的实现：

%{WORD:word1}.%{WORD:word2}.%{WORD:word3}|%{SPACE:space}%{URIPARAM:sign}%{SPACE:space}%{NONNEGINT:num}

Answer 1

希望这两种模式中的任何一种都能帮助解决您的问题。

%{WORD:word1}.%{WORD:word2}.%{WORD:word3} = %{INT:number}

或

%{WORD:word1}.%{WORD:word2}.%{WORD:word3}\s\S\s%{INT:number}

我使用 grok 调试器 https://grokdebug.herokuapp.com/ 来创建模式。这是输出的屏幕截图。