Eu estou olhando através de alguns arquivos de logs syslog na minha pilha ELK e notei que todos os campos syslog_severity são 'aviso', quando eu posso verificar nos arquivos de log que eles não são 'aviso'. Parece que o Logstash é o padrão syslog_severity para perceber. Sempre que vou ao kibana para pesquisar, não importa o que eu coloque no arquivo de configuração do filtro logstash, o kibana sempre retorna aviso para a gravidade. Eu tenho isso na minha configuração de filtro logstash:
filter {
if [type] == "syslog" {
grok {
match => { "message" => "%{SYSLOG5424LINE}" }
add_field => [ "received_at", "%{@timestamp}" ]
add_field => [ "received_from", "%{host}" ]
}
syslog_pri {
syslog_pri_field_name => "syslog5424_pri"
}
date {
match => [ "syslog5424_ts", "ISO8601" ]
}
}
}
Eu olhei para a solução mencionada aqui mas não acho que se aplica no meu caso, se você olhar para o meu arquivo de configuração do filtro. Eu tentei a solução mencionada aqui e reiniciei meu serviço logstash com
sudo service logstash restart
Eu também tentei reiniciar o resto dos serviços na minha pilha ELK, ainda recebendo aviso para todos os meus campos syslog_severity. Alguma idéia do que precisa ser alterado no filtro?
Minhas mensagens de log são deste formato:
<134>1 2015-01-01T11:12:23.180242-02:00 message
Eu testei esse grok com minhas mensagens no depurador grok e ele analisa minhas mensagens muito bem.