如何仅从多值字段中提取匹配字符串并显示在 SPLUNK 查询的新列中

Question

我正在尝试从多值字段中提取匹配的字符串并显示在另一列中。 我尝试了各种选项来按分隔符拆分字段，然后是 mvexpand，然后是用户在哪里/搜索以提取这些数据。 我试图找到是否有一种更简单的方法来执行此操作，而无需在 SPLUNK 查询中遇到所有这些麻烦。

示例：假设我有以下多值 column1 字段，其中数据由分隔符逗号分隔

column1 = abc1,test1,test2,abctest1,mail,send,mail2,sendtest2,new,code,results

我使用定界符|eval column2=split(column1,",")拆分此列，并使用 regex/where/search 在此列中使用*test*搜索数据并返回结果，我可以在其中提取结果但是column1 仍然显示所有值abc1,test1,test2,abctest1,mail,send,mail2,sendtest2,new,code,results ，我想要的是修剪 1 column1以仅显示与test匹配的单词或在新中显示这些条目column2应该只显示这个词test1,test2,abctest1,sendtest2因为它们只匹配*test* 。

感谢您的帮助，谢谢。

Answer 1

发布这个问题后找到了答案，它只是使用退出的 mvfilter function 来拉取匹配结果。

column2=mvfilter（匹配（column1，“测试”））

Answer 2

| eval column2=split(column1,",") | search column2="*test*"

不起作用，因为split会创建一个多值字段，这是一个包含包含多个值的单个字段的单个事件。 search *test*仍会找到该事件，即使它包含abc1等...因为至少有一个字段是*test* 。

您可以使用mvfilter命令将多值字段缩小到您所关注的事件。

| eval column2=split(column1,",") | eval column2=mvfilter(match(column2,".*test.*"))

除了这种方法，您还可以使用正则表达式来提取您需要的内容。

| rex field=column1 max_match=0 "(<?column2>[^,]*test[^,]*)"

无论如何，最后，您需要使用mvjoin将多个值连接成一个字符串

| eval column2=mvjoin(column2, ",")