2018-06-20T00:04:35.000+00:00 (980) WAL Autocheckpointing, name=C:\Program
Files\PriceService\data\documents.db
2018-06-20T00:07:16.000+00:00 (980) WAL Autocheckpointing, name=C:\Program
Files\PriceService\data\store-promotions.db
2018-06-20T00:07:21.000+00:00 (980) WAL Autocheckpointing, name=C:\Program
Files\PriceService\data\store-promotions.db
2018-06-20T00:07:26.000+00:00 (980) WAL Autocheckpointing, name=C:\Program
Files\PriceService\data\store-promotions.db
我一直在尝试正确执行splunk查询,以便将此事件拆分为多个事件,但是由于某种原因,我无法正确执行查询。
我尝试在换行符上拆分,但结果集恢复不变。通过在线阅读,我了解到我应该在
myQuery | rex field=_raw "\[(?P<field1>...).*[\r\n]"
对不起。我的正则表达式游戏不强。
答案 0 :(得分:1)
我意识到这可以简单地通过
完成myQuery | multikv noheader=t
我希望这对其他人有帮助,因为我花了几个小时试图使正则表达式正确。
编辑:固定命令。
答案 1 :(得分:0)
尝试... | eval events=split(_raw, "\n") | mvexpand events | ...
。
顺便说一句,regex101.com非常适合测试正则表达式字符串。