rex
Описание
Позволяет получить значения из строки с помощью регулярного выражения.
Синтаксис
... | rex field = <field> "(?<new_field><reg-expression>*)" [max_match=<int>]
Обязательные аргументы
Параметр | Синтаксис | Описание |
---|---|---|
<field> | <field> | Поле, по которому происходит поиск по регулярному выражению. |
<reg-expression> | <string> | Регулярное выражение, по которому происходит поиск значения. |
<new_field> | <string> | Новое поле события, принимающее значение, найденного по регулярному выражению. |
Теги для new_field
Параметр <new_field>
поддерживает теги:
Параметр | Синтаксис | Описание |
---|---|---|
_KEY_ | _KEY_<string> | Тег указывает на создание нового поля с названием из найденного значения по регулярному выражению. |
_VAL_ | _VAL_<string> | Тег указывает на сопоставление найденного значения по регулярному выражению и присваивание к полю, созданного с помощью тега_KEY_ . |
Опциональные аргументы
Параметр | Синтаксис | По умолчанию | Описание |
---|---|---|---|
max_match | max_match=<int> | 1 | Максимальное количество возвращаемых значений. |
Примеры запросов
Пример 1
В примере user имеет значение "127.0.0.1:5555, 192.168.0.1:2802"
, поле ip примет значение "127.0.0.1"
, поле port примет значение "5555"
.
...
| rex field = user "(?<ip>[0-9.]+):(?<port>[0-9]*)"
Пример 2
В примере memberOf имеет значение "CN=Иванов Иван, OU=Сотрудники, DC=dc"
, поле keysField примет значение [“CN”, “OU”, “DC”]
, поле valuesField примет значение [“Иванов Иван”, “Сотрудники”, “dc”]
.
...
| rex field = memberOf "(?<keysField>[a-zA-Z0-9_ ]*)=(?<valuesField>[а-яА-Яa-zA-Z_ ]*)" max_match=0