Wazuh 解码器问题

问题描述 投票:0回答:1

为什么预匹配有效,但在解码器测试器中找不到日志的解码器?

解码器设置:

<decoder name="wireguard">
  <prematch>^timestamp.*\.$</prematch>
</decoder>
<decoder name="wireguard1">
  <parent>wireguard</parent>
  <regex>^timestamp=([\d\p]+ [\d\p]+), user=([\w\p]+), event=([A-Za-z\s]+)</regex>
  <order>timestamp, user, event</order>
</decoder>

日志示例:

timestamp=2024-04-30 15:42:04.434565+02:00, user=test, event=logged in.
timestamp=2024-04-30 15:44:04.360658+02:00, user=test, event=logged out.
timestamp=2024-04-30 15:50:10.386081+02:00, user=wg0-test, event=logged in.
timestamp=2024-04-30 15:52:10.376882+02:00, user=wg0-test, event=logged out.
timestamp=2024-04-30 16:01:56.366630+02:00, user=wg0-test, event=logged in.
timestamp=2024-04-30 16:03:56.385659+02:00, user=wg0-test, event=logged out.

我想要一个正则表达式来匹配提供的日志

regex wazuh
1个回答
0
投票

看起来最简单的答案是

timestamp=(.+), user=(.+), event=(.+)

您有一个完全逗号分隔的列表,因此您可以依靠它们将数据分为三个部分。

请在 regex101.com 上查看。

© www.soinside.com 2019 - 2024. All rights reserved.