elasticsearch 在发送到Logstash/elastic search之前，是否可以编写grok表达式来丰富FileBeat中的日志文件

我的用例是将日志文件从各种应用程序发送到Elasticsearch，以便我可以从Kibana查看它们

---

我想知道能否将Filebeat配置为grok表达式，以便应用程序团队能够在其终端管理日志解析，并且中心日志系统/部署不受影响？如果可以的话，那么是否需要日志存储是值得怀疑的。我可以看到Filebeat支持多行表达式，但我可以通过解析消息定义其他grok表达式和添加/删除字段吗？

Filebeat不执行grok处理。因此，您需要将数据发送到Logstash进行处理

Elasticsearch 5.0中有一个新功能，名为，它允许在不需要日志存储的情况下执行一些简单的grok处理（即Filebeat->Elasticsearch）