Consulta con logstash


(Hugo Gallardo Flores) #1

Estimados, saludos.

soy nuevo en elastic y estoy migrando de splunk, por lo que hago pruebas de inputs actualmente. El problema es el siguiente, tengo un documento jboss que esta desestructurado, un evento tiene de 5 a 8 lineas, al cargarlo por logstash, me lee cada linea como un evento, utilice el delimiter del input file de logstash para agregar alguna expresión regular pero no lo consegui, luego leí de grok y no puedo hacer lo mensionado.

En resumen como puedo limitar un evento de un log por un timestamp y no por un salto de linea con logstash?

de atemano gracias.


(Hugo Gallardo Flores) #2

Me respondo solo:

Se debe agregar el el filtro el plugin multiline, el tendrá el límite para sacar cada documento.

Saludos.


(Gabriel Moskovicz) #3

Hola hugo.

Correcto, tambien puedes cambiar el delimiter, pero lo mejor es utilizar multiline con un patron.

Saludos!


(system) #4