我如何使用正则表达式在一行中计算splunk日志中的id

Question

我有类似的日志： 细分5bbdf7b8bbdd3c685a2110bf：UserMap为[512205885、512512460、512369891、512316786、58587803、506882296]

细分5bbdf7b8bbdd3c685a2110bf：UserMap为[514348564、506722271、513844106、513725157]
细分5bbdfd69bbdd3c685a21129b：UserMap为[502062935]

我想要统计信息，以便可以在userMap中查看有关细分的ID数量。喜欢：

5bbdf7b8bbdd3c685a2110bf-6

5bbdf7b8bbdd3c685a2110bf-4

5bbdfd69bbdd3c685a21129b-1

Answer 1

我认为使用regex不能完全做到这一点，但是这种搜索应该可以使您朝正确的方向前进。

<your base search> | rex "Segment (?<Segment>[^:]+)" 
| rex max_match=0 "UserMap is \[(?<id>\d+)" 
| idCount=mvcount(id) | table Segment idCount