Splunk 查询以从 json 日志事件中检索值并将其放入表中

Question

我有一个像这样的 json 格式的日志事件

{
   "level":"level  name",
   "exception":"exception message",
   "logger":"com.log",
   "thread":"thread name",
   "message":"exception message",
   "properties":{
      "id":"1234",
      "process":"Process name,
      "host":"host name",
      "type":"type name"
   }
}

我需要一个 splunk 查询来将主机内部的属性作为值获取到表中。 请帮我。

Answer 1

你已经尝试过什么？

我怀疑这个（或类似的）会起作用，假设 Splunk 已经将此数据识别为 JSON 格式：

index=ndx sourcetype=srctp properties{}.host=*
| rename properties{}.host as hostname
| stats count by hostname

Answer 2

查看您已经尝试过的内容会有所帮助，因此我们不会建议一些不起作用的内容。
可能有几种方法可以做到这一点，但这里是其中之一。

... | rex "host\":\"(?<hostName>[^\"]+)"
| table hostName

注意我特意没有将字段称为“host”，以避免与同名的内置字段发生冲突。