Splunk: Как получить определенный раздел из результата в splunk?

Question

Я использую этот запрос в поиске Spunk -

index="some_index" | dedup source | sort -source | dedup sourcetype | table sourcetype, source

Мой результат показывает, как это -

sourcetype                     source
-----------                 --------------

dev_architecture_dev1    /u01/splunk/etc/apps/dev-data/data/dev1/dev1-20150629133045.log
dev_architecture_dev2    /u01/splunk/etc/apps/dev-data/data/dev2/dev2-20150626124438.log

Я хочу получить только год, месяц, день, час, минуты и секунды прямо перед ".log". например, 20150629133045. И затем отобразите его как 2015-06-29 13:30:45 в столбце "источник".

Есть ли способ сделать это в Splunk6?

Спасибо за просмотр вопроса. Надеюсь получить ответы на некоторые вопросы.

Answer 1

Захват данных

| rex field=source ".*?(?<dt>\d+)\.log"

Разобраться во времени

| eval dt = strptime(dt, "%Y%m%d%H%M%S")

Отформатируйте как вам нужно

| eval dt = strftime(dt, "%Y-%m-%d %H:%M:%S")

Выход

| table sourcetype source dt