某一点后，过滤出文件路径的部分

Question

文件路径正在寻找到一个更深的层次比预期。所有我需要的是/ AAA，但我的搜索填充所有/ AAA / BBBB / CCC / DDD /值。有没有办法去除后/ AAA /一切吗？

my search: index=web_pn_iis sourcetype=iis  cs_uri_stem="*" sc_status=4* | where not cs_uri_stem="/*" 

returned values:/aaa/bbbb/ccc/ddd/
want: /aaa

Answer 1

该rex命令可以做到这一点。

index=web_pn_iis sourcetype=iis  cs_uri_stem="*" sc_status=4* 
| where not cs_uri_stem="/*" 
| rex field=cs_uri_stem "(?<want>\/\w+)"