Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Prosesor parser

Prosesor parser mengonversi data log mentah atau semi-terstruktur menjadi format terstruktur. Setiap pipeline dapat memiliki paling banyak satu prosesor parser utama, yang harus menjadi prosesor pertama dalam pipeline. Parser XML adalah pengecualian: ia beroperasi pada bidang yang dihasilkan oleh parser utama dan Anda dapat menambahkan paling banyak 5 instance ke satu pipeline.

Prosesor OCSF

Mengurai dan mengubah data log sesuai dengan standar Open Cybersecurity Schema Framework (OCSF).

Konfigurasi

Konfigurasikan prosesor OCSF dengan parameter berikut:

processor:
  - ocsf:
      version: "1.5"
      mapping_version: 1.5.0
      schema:
          microsoft_office365_management_activity:

Tabel ini mencantumkan kombinasi skema yang didukung.

Prosesor CSV

Mengurai data berformat CSV ke bidang terstruktur.

Konfigurasi

Konfigurasikan prosesor CSV dengan parameter berikut:

processor:
  - csv:      
      column_names: ["col1", "col2", "col3"]
      delimiter: ","
      quote_character: '"'

Untuk menggunakan prosesor tanpa menentukan parameter tambahan, gunakan perintah berikut:

processor:
  - csv: {}

Prosesor Grok

Mengurai data tidak terstruktur menggunakan pola Grok. Paling banyak 1 Grok didukung per pipa. Untuk detail tentang transformator Grok di CloudWatch Log lihat Pro sesor yang dapat Anda gunakan di Panduan CloudWatch Pengguna Log.

Konfigurasi

Konfigurasikan prosesor Grok dengan parameter berikut:

Bila sumber data adalah kamus, Anda dapat menggunakan konfigurasi ini:

processor:
  - grok:      
      match:
       source_key: ["%{WORD:level} %{GREEDYDATA:msg}"]

Bila sumber datanya adalah CloudWatch Logs, Anda dapat menggunakan konfigurasi ini:

processor:
  - grok:      
      match:
       source_key: ["%{WORD:level} %{GREEDYDATA:msg}"]

Prosesor VPC

Mengurai data Log Aliran VPC ke bidang terstruktur.

Konfigurasi

Konfigurasikan prosesor VPC dengan parameter berikut:

processor:
  - parse_vpc: {}
     

Prosesor JSON

Mengurai data JSON ke bidang terstruktur.

Konfigurasi

Konfigurasikan prosesor JSON dengan parameter berikut:

processor:
  - parse_json:
      source: "message"
      destination: "parsed_json"

Prosesor Route 53

Mengurai data log resolver Route 53 ke bidang terstruktur.

Konfigurasi

Konfigurasikan prosesor Route 53 dengan parameter berikut:

processor:
  - parse_route53: {}
      

Prosesor Amazon RDS

Mengurai data log Amazon RDS Aurora ke bidang terstruktur. Pro parse_rds sesor hanya didukung ketika pipa sudah data_source_name adaamazon_rds. Ini menerapkan logika penguraian yang cocok dengan pipeline. data_source_type

Konfigurasi

Konfigurasikan prosesor Amazon RDS dengan parameter berikut:

processor:
  - parse_rds: {}

Key-value prosesor

Mengurai data yang diformat pasangan kunci-nilai ke dalam bidang terstruktur.

Konfigurasi

Konfigurasikan prosesor nilai kunci dengan parameter berikut:

processor:
  - key_value:
      source: "message"
      destination: "parsed_kv"
      field_delimiter: "&"
      key_value_delimiter: "="

Untuk menggunakan prosesor tanpa menentukan parameter tambahan, gunakan perintah berikut:

processor:
  - key_value: {}

Pengurai XML

Gunakan parser XML untuk mengonversi bidang tertentu yang berisi string XML ke format JSON. Gunakan parser XML saat peristiwa log berisi bidang XML tertanam yang ingin Anda kueri sebagai data terstruktur. Parser XML beroperasi pada bidang bernama yang sudah berisi string XML. Tempatkan parser ini setelah parser utama dalam pipeline. Anda dapat menambahkan paling banyak 5 parse_xml parser ke satu pipeline.

Konfigurasi

Konfigurasikan parser XML dengan parameter berikut:

processor:
  - parse_json:
      source: "@message"
  - parse_xml:
      source: "body"
      destination: "parsed_xml"

Contoh - keluaran parser XML

Diberikan peristiwa log JSON berikut dengan bidang XML tertanam:

{
  "body": "<Person id=\"123\" active=\"true\"><name>John</name><age>30</age></Person>"
}

Dengan konfigurasi berikut:

processor:
  - parse_json:
      source: "@message"
  - parse_xml:
      source: "body"
      destination: "parsed_xml"

XML parser menghasilkan output sebagai berikut:

{
  "body": "<Person id=\"123\" active=\"true\"><name>John</name><age>30</age></Person>",
  "parsed_xml": {
    "id": "123",
    "active": "true",
    "name": "John",
    "age": "30"
  }
}