grok简单使用

1:拆分

      这个相当于正则 要一段一段的看

            从<4>开始 到时间的结束是一段(基本每一次从队列中拿出来的都是这个格式)  而localdomain又是一段(基本都是服务器名字或者ip)  而第三段HFISH[8824]因为这有一个列表(中括号) 所以要有其他的方法 : 当遇见[]后就需要用\[]来进行分隔 (我也不知道为什么  今下午第一次用 ) 也就是\[%{来取数据}]  因为我们里面的数据有可能就这几个字符串 所以我们还要给他赋予一个key   \[%{DATA:msg}]  msg就是8824   DATA就是8824的key   列表里面都数据取出来后必须要用DATA充当key

        我们还需要把我们提取出来的数据存放到一个key里面 也可以使用贪婪匹配 {GREEDYDATA:KEY名}

%{GREEDYDATA}%{HOSTNAME}\[%{DATA:msg}]%{GREEDYDATA:KEY名}

GREEDYDATA:贪婪匹配  匹配出来的如果有key的话就给你提取出来  如果没有就丢弃了