regex - Kusto 查询以使用正则表达式从消息日志中获取文件扩展名

Question

我正在尝试从 Kusto 消息日志中获取文件扩展名。以下是我的日志的外观：

"Symchk result for D:\pkgshadow\19H1\999907\files.csi\arm64\neutral\fre\Microsoft-OneCore-VirtualizationBasedSecurity-Package~31bf3856ad364e35~amd64~~10.0.21380.1020.mum is NOTAPPLICABLE"

我想从上面的日志中得到扩展名“妈妈”。

以下是我尝试过的查询，但它不起作用。

| extend filepath = trim_start("Symchk result for ", trim_end(" is NOTAPPLICABLE", ParsedMsg))
| extend extension = extract(**@"([^\\]*\.\w+\s)"**, 1, filePath)
| project extension

我正在使用上述正则表达式获取文件（即Microsoft-OneCore-VirtualizationBasedSecurity-Package~31bf3856ad364e35~amd64~~10.0.21380.1020.mum）作为输出。我想获得文件的扩展名（即mum）。有人可以帮我弄这个吗？

标签： regexkql

Answer 1

这可以解决问题：

print @"Symchk result for D:\pkgshadow\19H1\999907\files.csi\arm64\neutral\fre\Microsoft-OneCore-VirtualizationBasedSecurity-Package~31bf3856ad364e35~amd64~~10.0.21380.1020.mum is NOTAPPLICABLE"
| project extract("\\.([a-z]{3}) ", 1, print_0)

输出：

mum