Multiple Rex Выражение

Question

Я использую выражение REX ниже для поиска следующих полей в моих исходных данных:

Адрес Линия 1 Адрес Линия 2 Адрес Линия 3 Адреса Line 4, и Почтового индекс

| rex "Address Line 1=(?<address1>[^,]*)" | rex "Address Line 2=(?<address2>[^,]*)" | rex "Address Line 3=(?<address3>[^,]*)" | rex "Address Line 4=(?<address4>[^,]*)" | rex "Postcode=(?<postcode>[^,]*)" | 

Как вы можете видеть по выражению, каждому из этих полей присваивается переменная, поэтому для адресной строки 1 переменная является адресом1, адресная строка 2 - «адрес2» и т. Д.

Как вы, несомненно, увидите, что указанное выше выражение содержит несколько выражений rex, может кто-нибудь, возможно, скажите мне, пожалуйста, есть способ объединить их в одно выражение rex.

Answer 1

В первом примере на странице https://docs.splunk.com/Documentation/Splunk/6.6.1/SearchReference/Rex показано, как извлечь несколько полей с помощью одной команды rex. Если ваш _raw является многострочным, используйте \n или \r, если необходимо. http://docs.splunk.com/Documentation/Splunk/6.6.1/Knowledge/AboutSplunkregularexpressions