Фильтрация частей пути к файлу после определенной точки

Question

Пути к файлам находятся на более глубоком уровне, чем предполагалось.Все, что мне нужно, это / aaa, но мой поиск заполняет все значения для / aaa / bbbb / ccc / ddd /.есть ли способ удалить все после / aaa /?

my search: index=web_pn_iis sourcetype=iis  cs_uri_stem="*" sc_status=4* | where not cs_uri_stem="/*" 

returned values:/aaa/bbbb/ccc/ddd/
want: /aaa

Answer 1

Команда rex может сделать это.

index=web_pn_iis sourcetype=iis  cs_uri_stem="*" sc_status=4* 
| where not cs_uri_stem="/*" 
| rex field=cs_uri_stem "(?<want>\/\w+)"