@timestamp格式问题

把时间戳字段转化？如果是日志时间的话建议新增单独一个字段logdate来存储日志时间。如果非要覆盖时间戳的话也可以，正则匹配出来然后转化。
   dissect{

       mapping => {

             "infopubldate" => "%{date}T%{second}.%{?string}"

       }

   }

   mutate {

       replace => ["infopubldate","%{[date]} %{[second]}"]

       remove_field => "date"

       remove_field => "second"

   }