自定义日志解析器

网络管理员始终需要从日志数据中获取更多信息和洞察。有时IT管理员会发现某些有价值的日志信息，希望将其自动索引为新字段。增加索引字段数量能显著提升日志数据在取证分析和网络安全报表生成中的实用性。

EventLog Analyzer允许管理员通过交互式字段提取界面创建自定义（新）字段，或从原始日志中提取字段。用户可编写正则表达式（RegEx）模式，帮助EventLog Analyzer从网络系统和应用程序接收的新日志中识别、解析并索引这些自定义字段。

如何使用EventLog Analyzer提取附加字段？

• 导航至“搜索”选项卡，搜索需要提取字段的日志。点击“创建附加字段”以查看并提取字段。
  注意：您也可以在导入日志文件时提取附加字段。

  

• 您可在事件信息窗口查看提取的字段详情。若所需值未被解析，可点击"提取附加字段"继续提取字段。

指定自定义字段值

指定自定义字段有两种方法：

• 正则表达式方法
• 分隔符方法

正则表达式方法

• 提供规则名称。
• 在消息中选择并点击要作为字段提取的词语。
• 可使用自动识别选项自动识别字段。



• 为该字段命名。可选：为字段值指定前缀和后缀。
• 点击创建模式以生成解析规则模式。

添加前缀和后缀

• 您还可以添加字段值的前缀和/或后缀以提高精确度。要添加前缀和/或后缀，请点击字段表右上角的图标并选择所需选项，然后点击应用。
• 例如，考虑以下消息：网络登录成功：用户名：sylvian 域：ADVENTNET 登录ID：(0x0,0x6D51131) 登录类型：3 登录进程：NtLmSsp 认证包：NTLM 工作站名称：SYLVIAN 登录GUID：- 调用方用户名： - 调用方域：- 调用方登录ID：- 调用方进程ID：- 转发服务：- 源网络地址：192.168.113.97 源端口：0 22873
• 前缀"登录类型"可采用静态值，因多数日志会精确使用"登录类型"字样；而"源网络地址"可动态处理，日志可能使用不同表述（如源IP地址、源地址等），但遵循相同模式。
• 若前缀与后缀采用精确匹配定义，字段提取将更为精准。
注意：开放属性不包含前缀或后缀。

模式验证

通过字段定义创建解析规则模式。若熟悉正则表达式，可手动编辑生成的模式。

"验证链接"用于根据先前搜索结果测试生成的模式。您可以通过分析显示的"匹配日志消息"和"未匹配日志消息"来手动检查模式的适用性。

• 点击"选择其他模式"可从应用程序生成的模式列表中选择模式。
• 您可以定义任何现有的字段匹配条件，将该模式应用于此特定日志类型。
• 保存该模式以从后续日志中提取字段。

分隔符方法

• 提供规则名称。
• 可使用分隔符功能，通过空格、逗号、制表符或竖线等分隔符提取字段。

  

• 要保存创建的规则，请点击"保存规则"。