使用Splunk rex命令提取2个单词之间的字段

Question

请协助提取\在2个固定单词之间创建一个新字段，其中一个单词以!开头

例：

!CASH OUT          $50.00!                        !TOTAL AUD    $61.80! 

!CASH OUT和!TOTAL是固定的，但（$22.00!）之间的价值变化。我想创建一个字段，以便我可以通过现金支出等来过滤事件。我只希望美元金额成为最后没有!的领域。

我已经尝试了下面的搜索，但它创建了一个兑换字段，包含!CASH OUT之后的所有数据，并且在!TOTAL之前没有切割字段

"CASH OUT" "!TOTAL" | rex "CASH OUT (?.*)!TOTAL"

search | "CASH OUT" "!TOTAL" | rex "CASH OUT (?.*)!TOTAL"

field = $50.00

Answer 1

rex "(?<total>\$[^!]+)"

进入捕获组称为总计，捕获任何以美元符号开头的内容，然后是所有不可用的感叹号。

rex "\$(?<total>\[^!]+)"

如果您不想在捕获的字段中包含美元符号