logstash filter grok正则

Logstash filter grok正则是一种用于从未结构化的日志数据中提取有用信息的工具。它基于正则表达式，可以在日志数据中识别出特定的模式，并将其转换为结构化的数据。以下是一些常用的 grok 正则表达式示例：

- 提取 IP 地址：`%{IP:client}`
- 提取日期和时间：`%{TIMESTAMP_ISO8601:timestamp}`
- 提取数字：`%{NUMBER:bytes}`
- 提取 URL：`%{URI:url}`
- 提取日志级别：`%{LOGLEVEL:level}`
- 提取操作系统信息：`%{SYSLOG5424SD:os}`

在 Logstash 中使用 grok 正则表达式，可以通过在 filter 部分添加 grok 插件来实现。例如：

filter {
  grok {
    match => { "message" => "%{IP:client} %{USER:ident} %{USER:auth} \[%{HTTPDATE:timestamp}\] \"%{WORD:verb} %{URIPATHPARAM:request} HTTP/%{NUMBER:httpversion}\" %{NUMBER:response:int} (?:-|%{NUMBER:bytes:int}) %{QS:referrer} %{QS:agent}" }
  }
}

以上是一个示例 grok 正则表达式，可以从 Apache 日志中提取客户端 IP 地址、用户名、认证信息、时间戳、请求方法、请求路径、HTTP 版本、响应码、字节数、referrer 和 user-agent 等信息，并将其转换为结构化的数据。