Splunk Rex Expression

Question

我想知道是否有人可以幫助我。

首先，我對可能看起來很簡單的問題表示歉意，但我真的很爲此而苦惱。

我想從我的Splunk原始數據中提取一個nino字段，格式爲"nino\":\"AB123456A\"。

今天早上我已經閱讀了很多教程，但是我仍然無法找到這個'Rex'表達式。我只是想知道是否有人能夠提供一些關於'雷克斯'表達是什麼的指導。

Answer 1

rex search command是正則表達式（也稱爲正則表達式或正則表達式）的縮寫。

你可以像下面的查詢，它看起來在原始甚至並試圖解析出爲nino值：

index=foo | rex field=_raw "^\"\\w+\\\\\":\\\\\"(?P<nino>[^\\\\]+)" 

追加| table nino如果你想真正確保提取領域，您可以輕鬆地在表中

index=foo | rex field=_raw "^\"\\w+\\\\\":\\\\\"(?P<nino>[^\\\\]+)" | table nino 

驗證我生成使用field extractor正則表達式，這是非常直觀的。您可能想要自己進行字段提取，因爲您的數據不會完全像您添加的示例。理想情況下，您只需要使用字段提取來定義源類型，這樣就不需要使用rex搜索命令。