если вас устроит писать не все логи, а только часть - можете фильтровать на Логсташе.
Хотя если устроит вариант "для строки GET, содержащим ХХХ добавить признак, по которому потом в Кибане легко отфильтровать" - то опять-же, это делается в Лосташе. Но первый вариант (писать только нужное) самый хороший. Меньше храним - быстрее ищем.
ну и не забывайте про правильные типы данных и не-анализирование полей, по которым будете искать только по полному совпадению или не будете искать вовсе.
и да и нет. Скорее логсташ удобен, когда Вы не можете никак повлиять на источник логов или этот источник не умеет писать в эластик. В этом случае он Вам поможет забрать логи, обработать их - и записать в эластик.
в ситуации, когда источник сам может писать в эластил логсташ излишен.
у логсташа один поток инпутов-фильтров-аутпутов.
т.е. если вы одновременно загрузили 2 конфига - он вам и начал и читать из обоих селектов, и писать в оба индекса.
используйте type => "sometype"в input, а потом проверку
1. Нет. ИМХО битс может слать и не на локальный хост. так что шлите на 1 общий логсташ.
2. да, одна . Если хотите разные источники привязать к разным фильтрам и разным output - используйте
input {
file {
type => "my_type"
}
filter {
if [type] == "my_type" {}
}
output {
if [type] == "my_type" {}
}
