的Splunk：如何提取包含空格

我嘗試extact包含空格的字段的值的字段。 Appearently很難找到這種情況下，正則表達式（即使問題是，如果有可能的話）。的Splunk：如何提取包含空格

實施例：登錄BLA消息=世界你好下一=一些值BLA

由於Splunk的使用空間，以確定下一個字段開始，這是相當大的挑戰。

什麼是您預期的輸出？ – nu11p01n73R 2014-11-05 08:35:19

其確定。我不知道我能找到一個模式並只提取它的一部分。 – 2014-11-06 07:27:08

在Splunk的，您可以使用組找到我找出一個較長的模式，但只使用其中的一部分來組合這些。

模式的模樣。 （？Ppatternforfield）。。它可能不是語法上的正確，但它看起來是這樣的。您可以使用提取樣本值的提取器爲您提供類似的構造。

2014-11-06 07:30:00

| rex field=_raw "message=(?<message>.*?)\s*\w*="

上面將捕獲=之後的所有內容，直到next =之前的關鍵字之前的空白開始。

如果它是可能的消息將是最後的關鍵字，然後使用這個......

| rex field=_raw "message=(?<message>.*?)\s*(\w*=|$)"

2017-10-20 02:55:17

回答