Analizor de jurnal Apache

Jurnalele Apache (format combinat) au o structură precisă:

127.0.0.1 - - [10/Oct/2024:13:55:36 +0000] "GET /index.html HTTP/1.1" 200 1234

Un model cu grupuri denumite extrage fiecare câmp într-o singură lovitură:

^(?<ip>\d+\.\d+\.\d+\.\d+)\s+\S+\s+\S+\s+\[[^\]]+\]\s+"(?<metodo>\w+)\s+(?<path>\S+)\s+\S+"\s+(?<status>\d+)\s+(?<size>\d+)

Pare monstruos, dar este concatenarea de modele simple:

• (?<ip>\d+\.\d+\.\d+\.\d+) -- sursa IPv4.
• \s+\S+\s+\S+ -- ID-urile utilizatorului (de obicei -).
• \[[^\]]+\] -- data între paranteze drepte.
• "(?<metodo>\w+)\s+(?<path>\S+)\s+\S+" -- cererea între ghilimele, cu metoda, calea și versiunea HTTP.
• (?<status>\d+)\s+(?<size>\d+) -- codul de stare și octeții trimiși.

Strategia generală

1. Începe de la linia reală și pinează delimitatorii: spații, ghilimele, paranteze.
2. Între delimitatori, identificați tipul de simbol (IP, cuvânt, număr).
3. Închideți în grupuri numite numai ceea ce aveți nevoie pentru a extrage.

Analizarea jurnalelor complexe

În analiza jurnalelor, câmpurile sunt de obicei separate prin spațiu, cu excepția cazului în care conțin șiruri de caractere sau paranteze între ghilimele (de exemplu, user-agent). Utilizarea excluderii claselor de caractere în locul punctului metacar previne îmbinarea incorect a mai multor coloane.

Încearcă

Exercițiu de revizuire

Provocare suplimentară