graylog 使用之 编写 grok 表达式

grok是一种采用组合多个预定义的正则表达式，用来匹配分割文本并映射到关键字的工具。通常用来对日志数据进行预处理。

graylog 集成了 grok ，可以使用grok表达式 对日志进行  拆分匹配。

1.grok调试网址 ：http://grokconstructor.appspot.com/             （这个是外国的网址，需要科学上网进行浏览。）       

进入grok调试地址后 ，点击  Matcher  按钮， 进入调试界面。点击 randomExample 可以 查看 教程案例。

这个是 可以写 自定义的表达式， 上面是勾选的grok 相关联的表达式库 ，可以将具体的表达式 粘贴出来 ，自定义表达式规则。

然后 在这一栏 可以使用自定义的表达式，并制定别名（注意不要和 已存在的表达式名称冲突。）

组合需要注意的点： 两个匹配之间的空格 可能需要 可能 不需要 ，特殊字符需要部分 转义，注意组合最后是否有空格 或者制表符。

下面 给出 一个 组合 eg:

DDOS %{INT:seqno}\|%{IPV4:ip_dst_addr}\|%{NDATESTAMP:timestamp}\|%{NDATESTAMP:end