sumologic - Sumo Logic - 用正则表达式替换值

Question

我正在从日志文件中解析 request_uri:

_sourceName="/opt/zazma/var/logs/AuditRequest.log"
| parse "method=*, statusCode=*, requestURI=*," as method, status_code, request_uri
| count by method, request_uri, status_code
| sort by request_uri

URI 包括 ID 和电子邮件地址。我想用 '{Id}' 或 '*' 替换所有现有 ID，用 '{email}' 替换所有现有电子邮件，但是 Sumo 的 REPLACE 函数不支持正则表达式。

有没有其他方法可以替换 URI 中的 value？

Answer 1

您可以匹配要替换的部分每一侧的开始位和结束位，稍后再将它们重新组合在一起:

parse regex "(?<start>.*)(?<guid>[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}?)(?<end>.*?)$" nodrop | concat(start, "{id}", end) as result