我想从消息字段中提取“TimesAccesed”。 我用过| rex field=Message "\"TimesAccessed\"\:\"(?<TimesAccessed>[^\"]+)" | rex field=Message "\"TimesAccessed\"\:\"(?< ...
我有看起来像这样的原始数据： 我需要 rex 命令的帮助，该命令可以过滤所有带有“ Limoc Input : Exception occurred: 100 ” “ Limoc Input : Exception occurred: 101 ” 和类似的消息，并对它们进行计数并打印下面的消息“ ...
有人可以帮我解决这个正则表达式吗？ 我想提取 1. 或 2. 1. 或者 2. 这个文件名和值每次都会返回不同的数据。 （数据将是可变的。） 我不需要获取字段名称，只想从顶部按顺序获取值（多值） https://regex101.com/r/lsKeEM/2 -> 我无法提取最后一个字 ...
您好需要帮助以获得 splunk 正则表达式来打印我们有两个字符串的结果 AB:ABC:abc.abcd.abcd.abc:abcd:ABCDE* 和 AB:ABC:abc.abcd.abcd.abc:abcd:ABCDE*:e37f （这里 Ab 是一个例子）我需要两个不同的表：Table1 将有 ...
我遇到了一个小问题，需要从 JSON 日志文件中删除最后一个字符“,”（如果存在）。 我在 Splunk 中使用它。 这看起来很简单，我希望我的正则表达式能工作，但它不工作。 我的尝试： 仅供参考：我的 json 文件是嵌套的，随着删除最后一个字符，我从该文件中删除了一些 header 和页脚，并将 ...
我有一个要求，我需要从 splunk 日志中提取部分 JSON 代码并将该字段分配给 spath 以获得进一步的结果我的正则表达式在 regex101 中有效，但在 splunk 中无效下面是日志片段——希望获取从 {"unique_appcodes 到行尾的 JSON 代码..我已经在下面的帖子中 ...
我试图从 HTTP 请求中获取 User-Agent 值并将其放入一个名为“UserAgent”的单独字段中，但到目前为止还没有成功。 看起来我需要查找回车和换行符？ 将不胜感激任何帮助。 下面是 regex101 链接。 https://regex101.com/r/rdu8yE/1 PO ...
我的数据为"{\"data\":{\"correlation_id:\"51g0d88f-3ab8-4mom-betb-b31ed6e1662z\",\"u_originator_uri in _raw。我想将相关 ID 的值提取为 CorrelationId4 ...
我是 splunk 的新手。所以我有一个日志，其中包含这种格式的内容（事件） tool_code: error_code (path1/path2/path3/filename1,line) path1.path2.path3.testname1 我写 rex 来提取文件名和测试名 rex 是 ...
我正在 splunk 中搜索特定事件代码，以便消息字段的第一部分以"A member was added to a security-enabled global group"开头。 在那之后，它有更多的信息，就我而言，我不需要看到这些信息。 我尝试了以下搜索，但没有得到我想要的结果。 此搜索对消 ...
我有两个疑问... (1)提交日志查询： (2)保存日志查询： 我想比较来自不同服务的PO和timestamp （来自 _time 字段）结果，一个是提交事件，另一个是保存事件。 我想将其显示为下表 ...
我是 SPlunk 的新手，试图做一些仪表板，需要帮助来提取特定变量的字段在我的情况下，我只想将 KB_List":"KB000119050,KB000119026,KB000119036" 值提取到一列 我努力了： 在日志中突出显示以下部分 svc_log_ERROR","Impact":4.0, ...
需要帮助提取在日志中打印为 REGISTER_NOT_FOUND 的那些产品ID ( XA363636363633 )。 这些产品 ID 会发生变化 {"line":"2019-10-05 03:58:11.627 错误 [xxx-csscsc0sssscs-xxxx] 1 --- [nio- ...
我在rex查询中遇到一些问题，其中一位数字的日期会显示错误的结果，而两位数字的日期会提供正确的结果。 这些是我正在查询的日志条目： 这是查询： 对于3月7日条目，我的查询给了我组扩展名“ 7”，而我3月20日条目给了我组扩展名“ 963569”，这是正确的。 有人可以 ...
我有以下格式的splunk日志： 我想过滤消息“abcdefgh.ijkl”并单独编码。 ...
我有一些类似的数据： { “@timestamp”： “2019-02-26T05：12：30.090 + 00：00”， “@版本”： “1”， “消息”：“\\ n ============ ====> \\ n请求详细信息：\\ n [requestId：abc118f2- ...
我在splunk上的rex命令遇到问题。 我的查询输出以下内容。 {“（001）NULL.COUNT（1）.NUMBER”：“ 12345”} 我希望仅提取值12345，但此刻，我在下面的rex命令中返回了“ {"(001) NULL.COUNT(1).NUMBER": "1 ...
我想创建一个正则表达式来接收： 从： 我想我将使用正则表达式来匹配<p class="MyClass">和下一个之间的所有内容。 因此，正则表达式为/(<p class="MyClass">[\\s\\S]*)<p class="MyClass"& ...
似乎没有办法使用来提取字段. 在名字里。 我正在尝试对旧数据使用字段提取器来创建与新数据JSON字段匹配的字段。 要对此进行测试，您可以执行以下操作： 但是，在上述“ rex”原型和“字段提取”页面中，我所做的努力都是相同的错误消息。 从“ rex”原型中，我得到： ...
我有一条日志语句，如2017-06-21 12：53：48,426 INFO transaction.TransactionManager.Info:181-{“ message”：{“ TransactionStatus”：true，“ TransactioName”：“ removeLock ...