如何基于Apache日志生成时间而非Logstash导入时间可视化日志数据？

这个问题其实很常见——Logstash默认会把**@timestamp**字段设置成事件被它处理的时间（也就是你导入日志的时间），哪怕你用grok正确提取出了日志里的实际时间字段timestamp，它也不会自动替换默认的时间戳，因为你得明确告诉它这么做才行。

你提到已经有两个字段：日期类型的@timestamp（导入时间）和字符串类型的timestamp（日志实际时间），这说明grok的提取是成功的，接下来只需要一步就能让Kibana使用日志的真实时间：

1. 使用date过滤器替换默认的@timestamp #

Logstash提供了专门的date过滤器，用来将字符串格式的时间转换成标准的日期类型，同时覆盖默认的@timestamp字段。你只需要在现有的grok过滤器后面添加这个配置：

filter {
  # 你原本的grok配置，已经验证能匹配日志
  grok {
    match => { "message" => "%{COMBINEDAPACHELOG}" }
  }
  
  # 新增的date过滤器，把提取到的timestamp转成@timestamp
  date {
    match => [ "timestamp", "dd/MMM/yyyy:HH:mm:ss Z" ]
    target => "@timestamp"
  }
}

关键参数解释： #

• match：第一个值是你要处理的字段（也就是grok提取出的timestamp），第二个值是这个字段对应的时间格式——Apache组合日志的时间格式正好是dd/MMM/yyyy:HH:mm:ss Z（比如10/Oct/2000:13:55:36 +0000）。
• target：指定要替换的目标字段，这里填@timestamp就能覆盖默认的导入时间。

2. 可选：处理时区问题 #

如果你的日志时间没有带时区信息，或者时区和Logstash所在服务器的时区不一致，建议在date过滤器里加上timezone参数，避免时间转换错误。比如你的日志用的是北京时间：

date {
  match => [ "timestamp", "dd/MMM/yyyy:HH:mm:ss Z" ]
  target => "@timestamp"
  timezone => "Asia/Shanghai"
}

3. 验证结果 #

修改配置后重启Logstash，重新导入日志，然后去Kibana查看：

• @timestamp字段现在会显示日志的实际生成时间
• Kibana的时间轴、时间筛选等功能也会基于这个真实时间生效了

内容的提问来源于stack exchange，提问作者user1271930