Estou tendo problemas com a análise do grok. No ElasticSearch / Kibana, as linhas que eu correspondo aparecem com a tag _grokparsefailure.

Aqui está minha configuração do logstash:

input { 
    file { 
     type => logfile 
     path => ["/var/log/mylog.log"] 
    } 
  } 
filter { 
    if [type] == "logfile" 
    { 
      mutate {
      gsub => ["message","\"","'"]
      }  

    grok 
        { match => { "message" => "L %{DATE} - %{TIME}: " } } 
    } 
} 

output { 
   elasticsearch { host => localhost port => 9300 } 
}

linhas / padrões que estou tentando corresponder: L 08/02/2014 - 22:55:49: Arquivo de log fechado: "concluído"

Eu tentei o depurador emhttp://grokdebug.herokuapp.com/ e funciona bem, meu padrão corresponde corretamente.

As linhas que eu quero analisar podem conter aspas duplas, e eu li que pode haver problemas com a maneira como o grok lida e os escapa. Então, eu tentei mudar para substituir "por" para evitar problemas, mas sem sorte.

Alguma ideia ? Como posso depurar isso?

obrigado