Antes de Iniciar

As regras de análise são organizadas dentro de Grupos de Regras Cada grupo tem um nome e um conjunto de regras com um relacionamento lógico entre eles.. Os logs são processados de acordo com a ordem do grupo de regras (do início ao fim) Eles são então processados pela ordem de regras dentro do grupo de regras e de acordo com os operadores lógicos entre eles (AND/OR). As regras ajudam a processar, analisar e reestruturar dados do log para preparar o monitoramento e a análise. Para obter mais informações, consulte Trabalhando com grupos da regra

Usando grupos capturados nomeados para definir novos campos

A regra de análise usa grupos de capturas denominadas RegEx para definir novos campos.

• Grupos capturados se tornam os campos de log analisados.
• O valor que está associado a cada grupo se torna o valor do campo.
• O RegEx não precisa corresponder ao log inteiro..
• Apenas os grupos de captura nomeados RegEx (os valores dentro do < >) e o valor que eles capturam fazem parte do log reconstruído.

Configurando uma regra de análise.

Conclua as etapas a seguir para criar um grupo de regras com uma regra de Análise:

1. Clique no ícone Pipeline de dados > Regras de análise e clique em Novo grupo de regras.

2. Na seção Detalhes, insira Nome do Grupo de Regras e Descrição do Grupo de Regras.

3. Na seção Correspondente de regra, configure os aplicativos, subsistemas e gravidades que definem os logs nos quais aplicar as regras que estão incluídas no grupo de regras

4. Na seção Regras, selecione Analisar .

   1. Insira um nome.

   2. Opcionalmente, insira uma descrição.

   3. Selecione um campo de origem. Este é o campo no qual o RegEx é aplicado

   4. Selecione um campo de destino. Esse é o campo que será preenchido com os resultados da aplicação da expressão RegEx

   5. Insira a Expressão regular (RegEx).

   6. Alterne o status para ACTIVE se desejar que a regra seja ativada..

5. Inclua grupos de regras adicionais clicando em Incluir regra e selecionando o tipo de regra desejado.. Alterne AND/OR para selecionar como deseja que as regras adicionais sejam processadas.

6. Clique em Criar grupo de regras.

Exemplo de conversões de log

O exemplo a seguir usa um log de erro do tipo Heroku L/H que é enviado do Heroku como um log não estruturado e o converte em log JSON.

O log original é:.

sock=client at=warning code=H27 desc="Client Request Interrupted" method=POST path="/submit/" host=myapp.herokuapp.com fwd=17.17.17.17 dyno=web.1 connect=1ms service=0ms status=499 bytes=0

O RegEx é:.

^(sock=)?(?P<sock>(\S*))\s*at=(?P<severity>\S*)\s*code=(?P<error_code>\S*)\s*desc="(?P<desc>[^"]*)"\s*method=(?P<method>\S*)\s*path="(?P<path>[^"]*)" host=(?P<host>\S*)\s* (request_id=)?(?P<request_id>\S*)\s*fwd="?(?P<fwd>[^"\s]*)"?\s*dyno=(?P<dyno>\S*)\s*connect=(?P<connect>\d*)(ms)?\s*service=(?P<service>\d*)(ms)?\s*status=(?P<status>\d*)\s* bytes=(?P<bytes>\S*)\s*(protocol=)?(?P<protocol>[^"\s]*)$

O log formatado é:

{
    "sock": "client",
    "severity": "warning",
    "error_code": "H27",
    "desc": "Client Request Interrupted",
    "method": "POST",
    "path": "/submit/",
    "host": "myapp.herokuapp.com",
    "request_id": "",
    "fwd": "17.17.17.17",
    "dyno": "web.1",
    "connect": "1",
    "service": "0",
    "status": "499",
    "bytes": "0",
    "protocol": ""
}