【问题标题】:Splunk field extraction with square brackets [ ]带方括号 [ ] 的 Splunk 字段提取
【发布时间】:2021-05-07 11:35:53
【问题描述】:

我正在尝试使用分隔符解析以下示例,任何人都可以帮助提取。分隔符似乎不适用于此。有人可以帮忙处理正则表达式命令吗?

[2021-05-07T20:54:50.6222+10:00] [BDF] [ERROR:32] [BD99999] [security2] [client_id: 10.10.18.236] [host_id: google.com ] [host_addr: 10.10.05.11] [pid: 5397] [tid: 139783720359680] [user: apaapp] [ecid: 005kRh1ly^x8dpK_yTk3yW0001K80002jb] [rid: 0] [VirtualHost: google:4445] [client 0.10.18.236] ModSecurity: Warning. Pattern match "^[\\\\d.:]+$" at REQUEST_HEADERS:Host. [file "/apps/vbgrt/bdf/Google/Middleware/user_projects/domains/bdf_domain/config/fmwconfig/components/BDF/instances/bcp/crs-rules/REQUEST-920-PROTOCOL-ENFORCEMENT.conf"] [line "735"] [id "920350"] [msg "Host header is a numeric IP address"] [data"10.10.05.11:4445"] [severity "WARNING"] [ver "OWASP_PQR/3.3.0"] [tag "application-multi"] [tag "language-multi"] [tag "platform-multi"] [tag "attack-protocol"] [tag "paranoia-level/1"] [tag "OWASP_PQR"] [tag "capec/1000/210/272"] [tag "PCI/6.5.10"] [hostname "google"] [uri "/"] [unique_id "HTjues090uwmX0Cz1kLVwAAAIw"]

【问题讨论】:

  • 你想完成什么?这是搜索时间,还是在props.conf?数据 always 的格式是否像上面那样?您想要/需要提取多少个字段?到目前为止,您尝试过什么?
  • 你想完成什么?您是否尝试将方括号中的每个键值项提取到由键命名的变量中?

标签: regex splunk


【解决方案1】:
\[(?<field1>[^\[\]]+)]

请试试这个正则表达式,希望它对你有用。

【讨论】:

    猜你喜欢
    • 1970-01-01
    • 1970-01-01
    • 1970-01-01
    • 1970-01-01
    • 1970-01-01
    • 1970-01-01
    • 1970-01-01
    • 1970-01-01
    • 1970-01-01
    相关资源
    最近更新 更多