logstash利用grok截取字符中指定长度的内容

最近项目用到logstash，要求利用grok截取日志消息中某一指定长度的内容。

Logstatsh需要两个必需参数input、output，以及一个可选参数filter。input用于输入数据的设置，output用于输出数据的设置。filter是实现数据过滤的设置。grok是在filter里面实现数据截取。

项目有一串协议消息如 7e8900000c040116432693324af0010180010005e98e0706000a7e，要求利用grok截取7e后面的四个字符，利用grok正则表达式即可实现。
实现代码如下：

filter{
     
     grok{
        match => {
                   "message" => "(?<mid>(?<=7e)(.{4}))"                
        	}
     }
}

输出结果为：

"mid" => "8900"

代码解释：
message：即输入的数据信息。
mid：即输出结果的名称
(?<=7e)：即表示获取7e后面的字符，但不包括7e
(.{4})：即表示获取的字符长度为4个。

参考文章：
[1]. https://blog.csdn.net/cai750415222/article/details/86614854