AWK - сопоставить несколько шаблонов одновременно

Question

Я пытаюсь обработать CSV-файл, чтобы найти шаблоны, такие как 'duser =', 'dhost =' и 'dproc =', и однажды нашел следующую строку после печати. Сначала я должен использовать сопоставление с образцом, поскольку содержимое файла CSV не является постоянным. Разделители полей также не являются постоянными. Пожалуйста, примите во внимание, что файл CSV содержит журналы в формате CEF и содержит гораздо больше других шаблонов и значений. Пример журнала:

CEF:0|Microsoft|Microsoft Windows|Windows 7|Microsoft-Windows-Security-Auditing:4688|A new process has been created.|Low| eventId=1010044130 externalId=4688 msg=Token Elevation Type indicates the type of token that was assigned to the new process in accordance with User Account Control policy.Type 1 is a full token with no privileges removed or groups disabled. Type 2 is an elevated token with no privileges removed or groups disabled.Type 3 is a limited token with administrative privileges removed and administrative groups disabled. type=1 start=1523950846517 categorySignificance=/Informational categoryBehavior=/Execute/Start categoryDeviceGroup=/Operating System catdt=Operating System categoryOutcome=/Success categoryObject=/Host/Resource/Process art=1523950885975 cat=Security deviceSeverity=Audit_success rt=1523950863727 dhost=A-Win7Test.*****.net dst=**.**.**.46 destinationZoneURI=/All Zones/ArcSight System/Public Address Space Zones/******* dntdom=****** oldFileHash=en_US|UTF-8 cnt=5 cs2=Process Creation cs6=TokenElevationTypeDefault (1) cs1Label=Mandatory Label cs2Label=EventlogCategory cs3Label=New Process ID cs4Label=Process Command Line cs5Label=Creator Process ID cs6Label=Token Elevation Type ahost=a-server09.****.net agt=**.**.**.9 agentZoneURI=/All Zones/ArcSight System/Public Address Space Zones/******** amac=00-50-56-B8-4F-BB av=7.7.0.8044.0 atz=GMT at=winc dvchost=A-Win7Test.*****.net dvc=**.**.**.46 deviceZoneURI=/All Zones/ArcSight System/Public Address Space Zones/********** deviceNtDomain=***** dtz=GMT _cefVer=0.1 aid=3AaTkhlEBABCABcfWDDqDbw\=\=

Ссылка: https://community.softwaregrp.com/t5/ArcSight-User-Discussions/Issue-with-Windows-Event-4688/td-p/1641345

Кажется, что работает следующая команда:

... | awk 'sub(/.*duser=/,""){print "User:",$1}

Однако это работает только для первого паттерна. После выполнения, как вы можете догадаться, больше нет строк для обработки. Можно ли выполнить указанную выше команду 3 раза с другим шаблоном, чтобы получить список из 3 столбцов?

Я бы хотел достичь:

duser=AAA dhost=BBB dproc=CCC
duser=DDD dhost=EEE dproc=FFF
duser=GGG dhost=HHH dproc=III

Ценю вашу помощь, спасибо

Answer 1

Вы можете попробовать Perl.

$ cat lack_of_threat.txt
duser=AAA dhost=BBB dproc=CCC
duser=DDD dhost=EEE dproc=FFF
duser=GGG dhost=HHH dproc=III
$ perl -ne ' /duser=(\S+)\s*dhost=(\S+)\s*dproc=(\S+)/; print "User:$1, Host:$2, Proc:$3\n" ' lack_of_threat.txt
User:AAA, Host:BBB, Proc:CCC
User:DDD, Host:EEE, Proc:FFF
User:GGG, Host:HHH, Proc:III
$

Answer 2

Как это?

$ cat file
duser=AAA dhost=BBB dproc=CCC
duser=DDD dhost=EEE dproc=FFF
duser=GGG dhost=HHH dproc=III

$ awk '{print gensub("duser=([^ \t,]+)[ \t,]+dhost=([^ \t,]+)[ \t,]+dproc=([^ \t,]+)", "User: \\1, Host: \\2, Proc: \\3
", 1);}' file
User: AAA, Host: BBB, Proc: CCC
User: DDD, Host: EEE, Proc: FFF
User: GGG, Host: HHH, Proc: III

Если три части находятся в разных положениях и с разными последовательностями, попробуйте следующее:

awk '{match($0,"duser=([^ \t,]+)",user);  match($0,"dhost=([^ \t,]+)",host);  match($0,"dproc=([^ \t,]+)",proc);  print "User: " user[1] ", Host: " host[1] ", Proc: " proc[1];}' file

Пожалуйста, прочитайте mcve , прежде чем задать другой вопрос.