Как выделить текст по желанию, используя регулярные выражения для использования в Splunk? - PullRequest
0 голосов
/ 24 апреля 2018

У меня есть следующее регулярное выражение, которое отображает следующий вывод: enter image description here Желаемый зеленый текст. Но при добавлении в Splunk показывает точно такой же вывод, что и в предыдущем регулярном выражении.

Мне нужно сделать так, чтобы точный подсвеченный зеленый текст выделялся в Splunk для извлечения поля.

Предыдущее регулярное выражение: enter image description here Подсвеченный зеленый текстсместился.

Что я подозреваю, так это то, что я должен выделить '<37> 1' синим цветом, чтобы Splunk правильно выделил зеленый текст.Поскольку это регулярное выражение было сделано другим пользователем, когда я спросил в Splunk, пользователь не добавил «37» в своем примере регулярного выражения, что повлияло на выравнивание, когда я добавил его в Splunk.Я пробовал разные варианты, чтобы выделить «<37> 1», но безрезультатно.

Некоторые примеры моих вариантов:

(?: [^ \ S] [^ \ s] [^ \ s] + \ s +) {2} (? P [^ \ s] + (?: \ s \ w +)?) \ s \ d + \ s + <</p>

(?: [^\ s] [^ \ s] + \ s +) {2} (? P [^ \ s] + (?: \ s \ w + \ s)?) \ s \ d + \ s + <</p>

(?: [^ \ s] [^ \ s] + \ s +) {2} (Р [^ \ s] + (:? \ s \ W + \ ш)?) \ s \ d + \ s + <</p>* 1 022 * (?: [^ \ s] [^ \ s] + \ s +) {2} (Р [^ \ s] + (?:? \ с \ ш + \ ш \ ш)) \ s \ d +\ s + <</p>

\ <(?: [^ \ s] [^ \ s] + \ s +) {2} (? P [^ \ s] + (?: \ s \ w +)?)\ s \ d + \ s + <</p>

(?: [^ \ s] [^ \ s] + \ s + \ s) {2} (? P [^ \ s] + (?: \ s \w +)?) \ s \ d + \ s + <</p>

Ссылка регулярного выражения: https://regex101.com/r/biHi9a/5

1 Ответ

0 голосов
/ 24 апреля 2018

Вы знаете, что Splunk не использует цвет при разборе текста, верно?Если я правильно понимаю ваш вопрос и примеры, вы хотите извлечь текст между "E876876876" и первой цифрой.Предполагая, что «E876876876» не является фиксированной строкой, это регулярное выражение должно извлекать «auth» и «SECURE AUDIT».

":\d\dZ\s\w+\s(?P<field1>[^\d]+)"
...