在logstash中Sintax错误_grokparsefailure

作者: 谦成
发布时间: 2024-08-18 02:37:52 (23天前)
转自：

2 条回复

0#
回复此人
v-star*위위 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <P> 你混淆了语法：你用过 <code> $ </code> 代替 <code> % </code> 在许多情况下（有 <code> %{...} </code> ）。而且， <code> [ </code> 必须对字符类外部进行转义以匹配文字 <code> [ </code> 符号。我也建议使用 <code> DATA </code> 代替 <code> GREEDYDATA </code> 随着 <code> rulegroup </code> 领域。 </p> <P> 使用 </p> <pre> <code> OSSEC - RULEID: \"%{NUMBER:timestamp}\"; RULEID: \"%{NUMBER:ruleid}\"; RULELEVEL: \"%{NUMBER:rulelevel}\"; RULEGROUP: \"%{DATA:rulegroup}\"; RULECOMMENT: \"%{DATA:rulecomment}\"; DSTUSER: \"%{NOTSPACE:dstuser}\"; SRCIP: \"%{NOTSPACE:srcip}\"; HOSTNAME: \"%{NOTSPACE:hostname}\"; LOCATION: \"%{NOTSPACE:location}\"; EVENT: \"\[INIT\]%{DATA:event}\[END\]\"; </code> </pre> <P> 此外，您可以用。替换所有空格 <code> \s+ </code> 如果空格可能不同，则简化匹配。 </p> </DIV>

编辑

登录后才能参与评论