すべてのプロダクト
Search
ドキュメントセンター

Simple Log Service:Grok機能

最終更新日:Aug 28, 2024

このトピックでは、Grok関数の構文とパラメーターについて説明します。 Thisトピックも提供例使用する方法についての機能。

説明

正規表現関数は複雑です。 正規表現関数の代わりにGrok関数を使用することを推奨します。 詳細については、「正規表現関数」をご参照ください。 Grok機能と一緒に正規表現機能を利用できます。 例:

e_match("content", grok(r"\w+: (%{IP})"))  # The Grok pattern matches the abc: 192.168.0.0 or xyz: 192.168.1.1 pattern of log data. 
e_match("content", grok(r"\w+: (%{IP})", escape=True)) # The Grok pattern does not match the abc: 192.168.0.0 pattern of log data but matches the \w+: 192.168.0.0 pattern of log data. 

Grok機能抽出物指定値は正規表現に基づきます。

  • 構文

    grok(pattern, escape=False, extend=None)
  • Grok構文

    %{SYNTAX} 
    %{SYNTAX:NAME}

    Grok構文では、syntaxは定義済みの正規表現を指定し、NAMEはグループを指定します。 例:

    "%{IP}"               # Equivalent to r"(?:\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})"
    "%{IP:source_id}"     # Equivalent to r"(?P<source_id>\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})"
    ("%{IP}")             # Equivalent to r"(\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})"

    Grok関数は、次のグループ化モードをサポートします。

    • グループモードのキャプチャ

      一部のGrokパターンは、名前付きキャプチャグループをサポートしています。 これらのGrokパターンには、%{SYNTAX} 構文のみを使用できます。 これらのGrokパターンは、ステートメントの解析によく使用されます。 詳細については、Grok パターンの「ログ形式」セクションを参照してください。 例:

      "%{SYSLOGBASE}"        
      "%{COMMONAPACHELOG}" 
      "%{COMBINEDAPACHELOG}"
      "%{HTTPD20_ERRORLOG}"
      "%{HTTPD24_ERRORLOG}"
      "%{HTTPD_ERRORLOG}"
      ...
    • 非捕捉グループモード

      一部のGrokパターンは、非キャプチャグループをサポートします。 例:

      "%{INT}"    
      "%{YEAR}"
      "%{HOUR}"
      ...
  • パラメーター

    パラメーター

    データ型

    必須/任意

    説明

    pattern

    String

    必須

    Grok構文。 詳細については、「Grok パターン」をご参照ください。

    escape

    Bool

    任意

    Grok以外のパターンの正規表現に含まれる特殊文字をエスケープするかどうかを指定します。 デフォルト値:False。

    extend

    Dict

    任意

    カスタムGrok式。Grokのカスタム表現です。

  • 例1: 日付と参照コンテンツを抽出します。

    • 生ログ

      content: 2019 June 24 "I am iron man"
    • 変換ルール

      e_regex('content',grok('%{YEAR:year} %{MONTH:month} %{MONTHDAY:day} %{QUOTEDSTRING:motto}'))
    • 結果

      content: 2019 June 24 "I am iron man"
      year: 2019
      month: June
      day: 24
      motto: "I am iron man"
  • Example 2: ExtractをHTTP要求ログ。

    • 生ログ

      content: 10.0.0.0 GET /index.html 15824 0.043
    • 変換ルール

      e_regex('content',grok('%{IP:client} %{WORD:method} %{URIPATHPARAM:request} %{NUMBER:bytes} %{NUMBER:duration}'))
    • 結果

      content: 10.0.0.0 GET /index.html 15824 0.043
      client: 10.0.0.0
      method: GET
      request: /index.html
      bytes: 15824
      duration: 0.043
  • 例3: Apacheログを抽出します。

    • 生ログ

      content: 127.0.0.1 - - [13/Apr/2015:17:22:03 +0800] "GET /router.php HTTP/1.1" 404 285 "-" "curl/7.19.7 (x86_64-redhat-linux-gnu) libcurl/7.19.7 NSS/3.15.3 zlib/1.2.3 libidn/1.18 libssh2/1.4.2"
    • 変換ルール

      e_regex('content',grok('%{COMBINEDAPACHELOG}'))
    • 結果

      content: 127.0.0.1 - - [13/Apr/2015:17:22:03 +0800] "GET /router.php HTTP/1.1" 404 285 "-" "curl/7.19.7 (x86_64-redhat-linux-gnu) libcurl/7.19.7 NSS/3.15.3 zlib/1.2.3 libidn/1.18 libssh2/1.4.2"
      clientip: 127.0.0.1
      ident: -
      auth: -
      timestamp: 13/Apr/2015:17:22:03 +0800
      verb: GET
      request: /router.php
      httpversion: 1.1
      response: 404
      bytes: 285
      referrer: "-"
      agent: "curl/7.19.7 (x86_64-redhat-linux-gnu) libcurl/7.19.7 NSS/3.15.3 zlib/1.2.3 libidn/1.18 libssh2/1.4.2"
  • 例4: デフォルトのsyslog形式でログを抽出します。

    • 生ログ

      content: May 29 16:37:11 sadness logger: hello world
    • 変換ルール

      e_regex('content',grok('%{SYSLOGBASE} %{DATA:message}'))
    • 結果

      content: May 29 16:37:11 sadness logger: hello world
      timestamp: May 29 16:37:11
      logsource: sadness
      program: logger
      message: hello world
  • 例5: 特殊文字をエスケープします。

    • 生ログ

      content: Nov  1 21:14:23 scorn kernel: pid 84558 (expect), uid 30206: exited on signal 3
    • 変換ルール

      e_regex('content',grok(r'%{SYSLOGBASE} pid %{NUMBER:pid} \(%{WORD:program}\), uid %{NUMBER:uid}: exited on signal %{NUMBER:signal}'))

      変換ルールには、正規表現に含まれる特殊文字のかっこ () が含まれます。 かっこ () をエスケープしない場合は、エスケープパラメーターをTrueに設定します。 例:

      e_regex('content',grok('%{SYSLOGBASE} pid %{NUMBER:pid} (%{WORD:program}), uid %{NUMBER:uid}: exited on signal %{NUMBER:signal}', escape=True))
    • 結果

      content: Nov  1 21:14:23 scorn kernel: pid 84558 (expect), uid 30206: exited on signal 3
      timestamp: Nov  1 21:14:23
      logsource: scorn
      program: expect
      pid: 84558
      uid: 30206
      signal: 3
  • 例6: カスタムGrok式を使用してログを抽出します。

    • 生ログ

      content: Beijing-1104,gary 25 "never quit"
    • 変換ルール

      e_regex('content',grok('%{ID:user_id},%{WORD:name} %{INT:age} %{QUOTEDSTRING:motto}',extend={'ID': '%{WORD}-%{INT}'}))
    • 結果

      content: Beijing-1104,gary 25 "never quit"
      user_id: Beijing-1104
      name: gary
      age: 25
      motto: "never quit"
  • 例7: JSONデータを一致させます。

    • 生ログ

      content: 2019-10-29 16:41:39,218 - INFO: owt.AudioFrameConstructor - McsStats: {"event":"mediaStats","connectionId":"331578616547393100","durationMs":"5000","rtpPackets":"250","rtpBytes":"36945","nackPackets":"0","nackBytes":"0","rtpIntervalAvg":"20","rtpIntervalMax":"104","rtpIntervalVar":"4","rtcpRecvPackets":"0","rtcpRecvBytes":"0","rtcpSendPackets":"1","rtcpSendBytes":"32","frame":"250","frameBytes":"36945","timeStampOutOfOrder":"0","frameIntervalAvg":"20","frameIntervalMax":"104","frameIntervalVar":"4","timeStampIntervalAvg":"960","timeStampIntervalMax":"960","timeStampIntervalVar":"0"}
    • 変換ルール

      e_regex('content',grok('%{EXTRACTJSON}'))
    • 結果

      content: 2019-10-29 16:41:39,218 - INFO: owt.AudioFrameConstructor - McsStats: {"event":"mediaStats","connectionId":"331578616547393100","durationMs":"5000","rtpPackets":"250","rtpBytes":"36945","nackPackets":"0","nackBytes":"0","rtpIntervalAvg":"20","rtpIntervalMax":"104","rtpIntervalVar":"4","rtcpRecvPackets":"0","rtcpRecvBytes":"0","rtcpSendPackets":"1","rtcpSendBytes":"32","frame":"250","frameBytes":"36945","timeStampOutOfOrder":"0","frameIntervalAvg":"20","frameIntervalMax":"104","frameIntervalVar":"4","timeStampIntervalAvg":"960","timeStampIntervalMax":"960","timeStampIntervalVar":"0"}
      json:{"event":"mediaStats","connectionId":"331578616547393100","durationMs":"5000","rtpPackets":"250","rtpBytes":"36945","nackPackets":"0","nackBytes":"0","rtpIntervalAvg":"20","rtpIntervalMax":"104","rtpIntervalVar":"4","rtcpRecvPackets":"0","rtcpRecvBytes":"0","rtcpSendPackets":"1","rtcpSendBytes":"32","frame":"250","frameBytes":"36945","timeStampOutOfOrder":"0","frameIntervalAvg":"20","frameIntervalMax":"104","frameIntervalVar":"4","timeStampIntervalAvg":"960","timeStampIntervalMax":"960","timeStampIntervalVar":"0"}
  • 例8: W3C (World Wide Web Consortium) 形式でログを解析します。

    • 生ログ

      content: 2018-12-26 00:00:00 W3SVC2 application001 192.168.0.0 HEAD / - 8000 - 10.0.0.0 HTTP/1.0 - - - - 404 0 64 0 19 0
    • 変換ルール

      W3C形式でサポートされていないフィールドは、ハイフン (-) として表示されます。 したがって、Grokパターンではハイフン (-) を使用してフィールドを照合します。

      e_regex("content",grok('%{DATE:data} %{TIME:time} %{WORD:s_sitename} %{WORD:s_computername} %{IP:s_ip} %{WORD:cs_method} %{NOTSPACE:cs_uri_stem} - %{NUMBER:s_port} - %{IP:c_ip} %{NOTSPACE:cs_version} - - - - %{NUMBER:sc_status} %{NUMBER:sc_substatus} %{NUMBER:sc_win32_status} %{NUMBER:sc_bytes} %{NUMBER:cs_bytes} %{NUMBER:time_taken}'))
    • 結果

      content: 2018-12-26 00:00:00 W3SVC2 application001 192.168.0.0 HEAD / - 8000 - 10.0.0.0 HTTP/1.0 - - - - 404 0 64 0 19 0 
      data: 18-12-26
      time: 00:00:00
      s_sitename: W3SVC2
      s_computername: application001
      s_ip: 192.168.0.0
      cs_method: HEAD 
      cs_uri_stem: /
      s_port: 8000
      c_ip: 10.0.0.0
      cs_version: HTTP/1.0
      sc_status: 404
      sc_substatus: 0
      sc_win32_status: 64 
      sc_bytes: 0 
      cs_bytes: 19 
      time_taken: 0