logstash-收集有关连接到服务器的ip的信息

我正在使用ELK可视化连接到我的服务器的所有客户端（通过putty连接的机器）机器的ip地址信息。 我正在使用“last”命令获取连接到我的服务器的所有计算机的ip地址列表

最后一个命令的输出如下所示

根pts/032.97.110.56星期一10月5日16:44-17:33（19:03）

根pts/0 32.97.110.56星期一10月5日18:06-18:19（00:12）

当我在kibana上推送这些信息时，使用logstash和elastic search，我可以看到如下消息

消息：root pts/0 32.97.110.56周一10月5日16:44-17:33

我想按空格分割“消息”，这样我就可以在kibana中为每个字段设置不同的字段。 请告诉我怎么做。 谢谢。

过滤器可用于将消息解析为更有用的查询结构

grok

模式是正则表达式，但也包括可以使用的，而不是从头开始编写自己的表达式。这种简单解析的一个有用模式是

NOTSPACE

，它匹配任何非空白字符。其他模式（如

IP

）也可以用于确保所选数据符合您的预期

filter {
  grok {
    match => {
      "message" => "^%{NOTSPACE:user} %{NOTSPACE:tty} %{IP:ip}"
    }
    named_captures_only => true
  }
}