grok { match => { "message" => "%{TIMESTAMP_ISO8601:logdate}" } } date { match => [ "logdate", "YYYY-MM-dd HH:mm:ss.SSS" ] target => "@timestamp" timezone =>"+00:00" } mutate{ remove_field => "logdate" }
原理就是匹配业务时间，匹配到logdate字段，然后使用logdate的时候用logstash的date插件覆盖默认的@timestamp实际。
关于取消标题上的5个下横杠开头的字段_source, _id, _type, _index, _score，可以直接在kibanna的高级设置里面删除相应字段即可，具体如图。
删除后记得刷新kibana相应索引模式。
logstash配置从提取业务日志时间更新到@timestamp及取消kinbana显示_source, _id, _type, _index, _score元数据
原文：https://www.cnblogs.com/netsa/p/15169207.html