要在CentOS上自定义Filebeat的日志格式，您需要按照以下步骤操作：
Filebeat的配置文件通常位于/etc/filebeat/filebeat.yml。使用文本编辑器打开它，例如使用vi编辑器：
sudo vi /etc/filebeat/filebeat.yml
在配置文件中，找到filebeat.inputs部分。在这里，您可以定义日志文件的路径以及自定义日志格式。例如，如果您想要解析JSON格式的日志，可以使用以下配置：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/*.log
json.keys_under_root: true
json.add_error_key: true
如果您想要解析自定义格式的日志，可以使用processors部分来定义一个dissect处理器。例如，假设您的日志格式如下：
[INFO] [2021-09-01 12:34:56] [user1] [example.com] - User logged in successfully.
您可以定义一个dissect处理器来解析这个格式：
processors:
- dissect:
tokenizer: '%{[timestamp]} [%{[level]}] [%{[user]}] [%{[domain]}] - %{[message]}'
field: "message"
target_prefix: ""
保存并关闭配置文件后，重新启动Filebeat服务以应用更改：
sudo systemctl restart filebeat
现在，Filebeat应该会使用您定义的自定义日志格式来解析日志文件。
注意：在自定义日志格式时，请确保您的dissect处理器中的正则表达式与您实际的日志格式相匹配。如果需要，您可以参考官方文档以获取更多关于dissect处理器的信息。
