Splunk - 检查与我提供的任何字符串相同的日志

Question

我只想捕获包含“零容忍”、“晴天霹雳”、“改变与休息一样好”等值的日志。我已经尝试过这个，但它不起作用，它只捕获了第一个。 /description=(?零容忍 | 晴天霹雳 | 改变和休息一样好)

请记住，要检查的字符串需要由我提供。

  code = random05, description=bird in the hand is worth two in the bush, level=5
  code = random02, description=bolt from the blue, level=8
  code = random09, description=bunch of fives, level=3
  code = random05, description=A chain is only as strong as its weakest link, level=0
  code = random08, description=A change is as good as a rest, level=3```

There are more logs but they are not showing.

Answer 1

看起来您想要匹配 description 之后包含您指定的字符串之一的任何内容。然后您可以使用

description=(?<des>.*(?:Zero tolerance|bolt from the blue|A change is as good as a rest).*)

所以，这里，“des”组将尽可能匹配除了换行符之外的任何零个或多个字符，然后指定的字符串之一（注意 | 周围的空格被删除） ），然后再次是除换行符之外的尽可能多的任何零个或多个字符。

如果需要通过第一个逗号限制匹配，请将 . 替换为 [^,]。