logstash 高级配置

过滤事件

filter{
	ruby {
		code => "event.cancel if event['message'] =~ /^info/ " #正则匹配message字段以info开头，那么去除这个事件，不继续往下走
	}
}

判断字段值是否为空

filter{
	if [stack_trace] {  #如果存在stack_trace字段
		mutate{
			add_field => ["key1","error"]
		}
	}else{
		mutate{
			add_field => ["key1","info"]
		}
	}
}

时间转换

filter{
	ruby {code => "event['timestamp']=event['timestamp']+28800000"}  #timestamp字段加一个数求和后再赋值给timestamp字段
}