将自定义格式数据加载到 splunk

Question

我是 splunk 的新手，需要对预处理的最佳方法进行一些说明。我有以下 .csv 格式的文件

field1, field2, field3,             field4, field5 
dummy    dummy   date(YYYYMMMDD)    dummy   time

时间没有 0 预设，因此例如 13 秒将被列为 ..'13'，1 小时 50 分 22 秒将被列为 15022。

是否可以通过正则表达式通过默认输入加载器解决此问题？它说 0 无关紧要，但时间错误，我有 Y%m%d%H%M%S 。

我一直在研究的第二种方法（如果有人可以将我指向快速指南的人）我该如何配置，以便为每个匹配的 *file.csv 触发 python 规则？ （我不希望它在数据被索引/导入到 spunk 时间隔运行）

谢谢。

Answer 1

时间字段是否包含时间或经过时间？ Splunk 无法处理后者。

考虑创建模块化输入（Python 脚本）来读取文件并根据需要转换字段。脚本的输出将被 Splunk 索引。