grok - Online en la nube

PROGRAMA:

NOMBRE

grok: analiza registros, gestiona eventos y estructura el texto no estructurado.

SINOPSIS

Grok [-d] -f archivo de configuración

DESCRIPCIÓN

Grok es un software que le permite analizar fácilmente registros y otros archivos. Con grok, puedes
Convierta los datos de eventos y registros no estructurados en datos estructurados.

El programa grok es una gran herramienta para analizar los datos de registro y la salida del programa. Puedes emparejar
cualquier número de patrones complejos en cualquier número de entradas (procesos y archivos) y tienen
reacciones personalizadas.

OPCIONES

-d or --demonio
Daemonize después de analizar el archivo de configuración. Implementado con demonio(3). El valor predeterminado es
permanecer en primer plano.

-f archivo de configuración
Especifique un archivo de configuración de grok para usar.

CONFIGURACIÓN

Puede llamar al archivo de configuración como desee. A continuación se muestra una configuración de ejemplo completa, con
documentación sobre opciones y valores predeterminados.

# --- Comenzar la configuración de muestra de grok
# Este es un comentario. :)
#
# habilitar o deshabilitar la depuración. La depuración se establece en falso de forma predeterminada.
# la configuración de 'depuración' es válida en todos los niveles.
# los valores de depuración se copian hacia abajo a menos que se anulen.
debug: verdadero

# puede definir varios bloques de programa en un archivo de configuración.
# un programa es solo una colección de entradas (archivos, ejecutivos) y
# coincidencias (patrones y reacciones),
programa {
depurar: falso

# archivo sin bloque. el bloque de configuración es opcional
archivo "/ var / log / messages"

# archivo con un bloque
archivo "/ var / log / secure" {
# seguir significa seguir un archivo como 'tail -F' pero comienza
# lectura al principio del archivo. Se sigue un archivo
# mediante truncamiento, rotación de registros y anexos.
seguir: verdad
}

# ejecutar un comando, el bloque de configuración es opcional
ejecutivo "netstat -rn"

# ejecutivo con un bloque
exec "ping -c 1 www.google.com" {
# Vuelve a ejecutar automáticamente el ejecutivo si sale, tan pronto como sale.
# el valor predeterminado es falso
reiniciar al salir: falso

# cantidad mínima de tiempo desde un comienzo hasta el siguiente, si
# están reiniciando. El valor predeterminado no es mínimo
intervalo de reinicio mínimo: 5

# ejecutar cada N segundos, pero solo si el proceso ha finalizado.
# el valor predeterminado es no volver a ejecutar en absoluto.
intervalo de ejecución: 60

# el valor predeterminado es leer la salida del proceso solo desde stdout.
# establezca esto en verdadero para leer también desde stderr.
read-stderr: falso
}

# Puede tener varios bloques de coincidencias {} en su configuración.
# Se aplican, en orden, contra cada línea de entrada que
# proviene de sus instancias de archivo y exec en este bloque de programa.
fósforo {
# coincidir con un patrón. Puede ser cualquier expresión regular y puede incluir% {foo}
# patrones grok
patrón: "algún patrón para que coincida"

# Puede tener varios patrones aquí, cualquiera es válido para hacer coincidir.
patrón: "otro patrón para combinar"

# la reacción predeterminada es "% {@ LINE}", que es la línea completa
# emparejado. la reacción puede ser un valor especial de 'ninguno' que
# significa que no se produce ninguna reacción, o puede ser cualquier cadena. los
# reacción se emite a la cáscara si no es ninguna.
reacción: "% {@ LINE}"

# el shell predeterminado es 'stdout', lo que significa que las reacciones son
# impreso directamente en salida estándar. Establecer el caparazón a un
# La cadena de comando ejecutará ese comando y canalizará los datos de reacción a
# eso.
#shell: salida estándar
cascarón: "/ Bin / sh"

# Flush después de cada escritura en el shell.
# El valor predeterminado es no descargar.
rubor: cierto

# break-if-match significa que no intente más coincidencias en
# esta línea. El valor predeterminado es falso.
romper-si-coincide: verdadero
}
}
# - Finalizar configuración

PATRÓN ARCHIVOS

Los archivos de patrones contienen listas de nombres y patrones para cargar en grok.

Los patrones están delimitados por saltos de línea y tienen esta sintaxis:
nombre del patrón expresión

Se ignoran los espacios en blanco entre el nombre del patrón y la expresión.

nombre del patrón
Este es el nombre de su patrón que, cuando se carga, se puede hacer referencia en patrones como
% {patternname}

expresión
La expresión aquí está, literalmente, disponible como expresión regular. Usted no necesita
preocuparse por cómo escapar de las cosas.

PATRÓN EJEMPLOS
DIGITS \ d +
HELLOWORLD \ bhello world \ b

REGULAR EXPRESIONES

El motor de expresión debajo de grok es PCRE. Cualquier sintaxis en PCRE es válida en grok.

REACCIONES

Las reacciones pueden hacer referencia a patrones con nombre de la coincidencia. También puede acceder a algunos otros
valores especiales, que incluyen:

%{@LÍNEA}
La línea coincidió.

%{@FÓSFORO}
La subcadena coincide

%{@COMIENZO}
La posición inicial del partido desde el principio de la cadena.

%{@FIN}
La posición final del partido.

%{@LARGO}
La duración del partido

% {@ JSON}
El conjunto completo de patrones capturados, codificados como un diccionario json como una estructura de {
patrón: [matriz de capturas]}. Usamos una matriz porque puedes usar el mismo nombre
patrón varias veces en un partido.

% {@ JSON_COMPLEX}
Similar al anterior, pero incluye la posición inicial y final para cada patrón nombrado.
Esa estructura es:

{"grok": [
{"@LINE": {"inicio": ..., "final": ..., "valor": ...}},
{"@MATCH": {"inicio": ..., "final": ..., "valor": ...}},
{"patternname": {"start": startpos, "end": endpos, "value": "string"}},
{"patternname2": {"start": startpos, "end": endpos, "value": "string"}},
...
]}

REACCIÓN FILTROS
Los filtros de reacción le permiten mutar los datos capturados. Los siguientes filtros son
tamaños:

Un ejemplo del uso de un filtro en una reacción es el siguiente:
reacción: "echo Coincidió:% {@ MATCH | shellescape}"

paisaje de conchas
Escapa de todos los caracteres necesarios para que la cadena sea segura en un shell sin comillas.
argumento

Shelldqescape
Escapa de los caracteres necesarios para estar a salvo dentro de comillas dobles en un caparazón.

código json
Hace que la cadena sea segura para representar en una cadena json (escapa de acuerdo con json.org
recomendaciones)

Use grok en línea usando los servicios de onworks.net