splunk 搜索查询中的日期时间格式搜索

Question

我的 splunk 日志中有“YYYY-MM-DD HH:MM:SS.QQ 错误”。 现在，我想在我的 splunk 日志中搜索类似的日期模式以及“2021-Apr-08 23:08:23.498 ERROR”之类的状态，并在错误标签出现在日期旁边时创建警报。 这些日期是可变的，并在运行时生成。

任何人都可以建议我如何在 splunk 查询中检查日期时间格式以及状态。

Answer 1

在标题中，您提到了 Amazon Web 服务。 如果您的事件是实际的 AWS 日志数据，您可以Splunk Add-on for Amazon Web Services ： https://splunkbase.splunk.com/app/1876/

该附加组件带有许多字段提取。 安装插件后，您需要做的就是查看您的事件以找出状态文本的正确字段名称，然后搜索status=ERROR 。

或者，您可以自己创建字段提取。 这个正则表达式应该这样做：

(?<date>\d\d\d\d-\w+-\d\d\s+\d\d:\d\d:\d\d\.\d\d\d)\s+(?<status>\w+)

你可以在这里测试它： https://regex101.com/r/pVg1Pm/1

现在使用 Splunk 的rex命令在搜索时进行字段提取：

要自动完成字段提取，您可以通过设置/字段/字段提取添加新的字段提取。