自定义日志解析

EventLog Analyzer 的自定义日志解析功能允许用户通过定义解析规则从日志中提取额外字段。该功能还支持创建自定义格式，并为新创建的格式定义解析规则。

1. 创建自定义日志格式

导航至设置 > 管理设置 > 自定义日志格式。

• 要创建新格式，请点击“添加日志格式”。
• 将弹出对话框，在格式名称文本框中输入新自定义格式名称。
• 系统将基于syslog类型创建新日志格式。同时支持文件导入类型。

  

• 创建自定义日志格式后，将弹出确认框，提供两种操作选项：为新格式创建解析规则，或跳转至"管理解析规则"界面创建新规则。

  

• 基于"Syslog"的新格式可分配至任意syslog设备。操作路径：设置 > 设备 > Syslog设备 > 更新 > 设备类型，选择新创建的格式进行更新。

  

• 基于"文件导入"的新格式可在文件导入过程中进行分配。

  

注意：自定义日志格式可分配给设备用于日志收集。删除该格式后，解析字段及其值将无法在日志中访问，仅保留默认字段可用。此规则同样适用于归档日志。

2. 为日志格式创建解析规则

• 创建解析规则时，请点击添加解析规则。

  

• 提取字段有两种方法：正则表达式和分隔符。
• 粘贴日志内容，点击保存更改，并选择需提取的字段值。
• 为解析器规则提供规则名称和字段名称。

  

• 使用“自动识别”图标识别常用字段，并从合适的工作字段中进行选择。
• 点击“添加开放属性”可同时输入字段名及其值，便于后续检索。
• 系统将生成正则表达式（regex）模式，该模式用于从日志中提取字段。
• 选择“选择其他模式”将显示用于提取指定字段的另一种生成的模式。
• 设置"仅在满足以下条件时应用此模式"的规则，以限定该解析规则的适用场景。

  

• 点击"验证此模式"可确认生成的模式是否正确提取字段。
• 点击"验证此模式"将打开新窗口，使用最近收集的50条日志进行匹配验证。若模式不匹配，日志将归类为未匹配项。若模式无效，请点击"选择其他模式"切换模式并重新验证。

  

  

• 点击"保存规则"即可保存该规则。

  

• 也可通过将方法切换为"分隔符"来提取字段。用户可指定单词间的分隔符（如空格、逗号、制表符、竖线），或输入自定义分隔符进行字段提取。自定义分隔符应输入为符号而非单词。若提取的字段适用于日志，用户可提供字段名称并保存规则。

  

• 对于JSON格式日志，用户可通过指定JSON路径提取日志中特定字段。每个字段需通过分配字段名并映射至对应JSON路径来定义。请注意：JSON路径必须准确引用日志中的键值或嵌套结构。
• JSON字段提取仅适用于文件导入自定义日志格式。用户可通过以下两种方式创建JSON提取规则：
  • 使用示例日志：

    

    • 提供有效的JSON日志文件。
    • 从JSON树中选择所需字段。
    • 为对应的JSON路径分配字段名称。
  • 无样本日志：

    

    • 手动指定JSON路径以定位特定字段。
    • 确保JSON路径与日志结构匹配。
• 查看特定解析规则关联的字段及属性，并可选择启用/禁用该规则。按需编辑解析规则，必要时可删除。
• 要为预定义格式添加解析规则，请导航至设置 > 自定义日志格式 > 预定义日志格式。

  

3. 通过搜索选项卡创建自定义解析规则提取字段

• 直接从搜索选项卡提取附加字段。在每个日志右侧找到创建附加字段图标并点击。

  

• 日志详情将被显示，随后选择“提取附加字段”。

  

• 请参照前文所述步骤创建解析规则。

  

• 创建的解析规则可在设置页面查看。

  

注意：预定义和自定义格式均可通过两种方式提取字段：搜索方式和设置方式。