如何做到统一日志？

ELK中完成日志格式提取的主要是Logstash部分，支持各种filter，最主要的是正则表达式，其次常用的有KV切割等。

Logstash的正则表达式在标准正则表达式基础上扩展了Grok方式，就是可以预定义一些复杂正则模式，然后后续可以直接引用，不用每次都写那么长。目前自带的已经有上百个Grok模式。

日志数据格式确实各不一样，各个日志系统提取数据的方法不一，ELK使用通配符解析，IBM日志系统也包含从日志中提取数据的功能，提取数据的准确度与采用的方法不同而互有高低。