Как использовать команду rex для извлечения двух полей и составления диаграммы для обоих в одном поисковом запросе?

Question

У меня есть запись в журнале, например, 2017-06-21 12:53:48,426 ИНФО транзакции.TransactionManager.Info:181 -{"message":{"TransactionStatus":true,"TransactioName":"removeLockedUser-1498029828160"}} . Как я могу извлечь TransactionName и TranscationStatus и распечатать в виде таблицы TransactionName и его количество.

Я попробовал ниже запрос, но не получил никакого успеха. Это всегда дает мне 0.

sourcetype = 10.240.204.69 "TransactionStatus" | rex field = _raw ".TransactionStatus (?.)" | счетчик статистики ((status=true)) как success_count

Answer 1

Решил это с этим:

| makeresults | eval _raw = "2017-06-21 12: 53: 48,426 Информационная транзакция.TransactionManager.Info:181 -{\"message\":{\"TransactionStatus\":true,\"TransactioName\":\"removeLockedUser-1498029828160\"}}" | переименуйте COMMENT AS "Все выше генерирует пример данных о событиях; все ниже - ваше решение" | rex "{\" TransactionStatus \ ": (? [^,]), \" TransactioName \ ": \" (? [^ \ "]) \" "| count count OVER TransactioName BY TransactionStatus