json - logstash を使用して特定の json フィールドを削除する

Question

キーが 404 のエントリを削除する必要があります。現在のフィルタが機能していないようです。

行全体ではなく、フィールドのみを削除する必要があります。

  if [net][status] == "404" {
mutate {
  remove_field => [ "[url][queryString]" ]
}
}

Answer 1

エントリを削除しようとしている場合は、drop{ } を使用することをお勧めします。これにより、logstash パイプラインを介してレコードが進行しなくなります。あなたがしているのは、レコードから特定の「フィールド」を削除することだけです。

if [net][status] == "404" {
    drop{ }
}