regex - Splunk 查询过滤 IIS 日志中的结果以识别小于 400 的 CRYPT_Protocol 值

Question

我试图找到一个正则表达式来帮助过滤来自摄取的 IIS 日志的 splunk 结果，以便当 CRYPT_PROTOCOL 响应小于 400 时显示它。

标签： regexiis-8splunk-query

Answer 1

实际上，我们能够弄清楚。我们将日志分解为正则表达式中的字段，然后从那里在 splunk 中创建表——就像这样。

index="msexchange" sourcetype=MSWindows:2016W3SVC1:IIS 最早="02/07/2019:09:00:00" 最新="02/07/2019:09:30:00" | 雷克斯字段=_raw "(?\d{4}-\d{2}-\d{2})\s(?\d{2}:\d{2}:\d{2})\s( ?\S*)\s(?\w+)\s(?\S*)\s(?\S*[;-])\s(?\S*)\s(?\S*)\s (?\S*)\s(?\S*)\s(?[\w.]+)\s(?\S*)\s(?\S*)\s(?\S*)\ s(?\S*)\s(?\S*)\s(?\S*)\s(?\S*)\s(?\S*)" | 其中加密协议<400 | table _time sip csmethod sport csusername cip csuseragent cshost csstatus csubstatus cswin32status scbytes csbytes timetaken originalip cryptoprotocol | 排序 0 -_time