Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Parser-Prozessoren

Parser-Prozessoren konvertieren rohe oder halbstrukturierte Protokolldaten in strukturierte Formate. Jede Pipeline kann höchstens einen primären Parserprozessor haben, der der erste Prozessor in der Pipeline sein muss. Der XML-Parser ist eine Ausnahme: Er arbeitet mit Feldern, die von einem primären Parser erzeugt wurden, und Sie können einer einzelnen Pipeline maximal 5 Instanzen hinzufügen.

OCSF-Prozessor

Analysiert und transformiert Protokolldaten gemäß den Standards des Open Cybersecurity Schema Framework (OCSF).

Konfiguration

Konfigurieren Sie den OCSF-Prozessor mit den folgenden Parametern:

processor:
  - ocsf:
      version: "1.5"
      mapping_version: 1.5.0
      schema:
          microsoft_office365_management_activity:

In dieser Tabelle sind die unterstützten Schemakombinationen aufgeführt.

CSV-Prozessor

Analysiert CSV-formatierte Daten in strukturierte Felder.

Konfiguration

Konfigurieren Sie den CSV-Prozessor mit den folgenden Parametern:

processor:
  - csv:      
      column_names: ["col1", "col2", "col3"]
      delimiter: ","
      quote_character: '"'

Verwenden Sie den folgenden Befehl, um den Prozessor ohne Angabe zusätzlicher Parameter zu verwenden:

processor:
  - csv: {}

Grok-Prozessor

Analysiert unstrukturierte Daten mithilfe von Grok-Mustern. Pro Pipeline wird höchstens 1 Grok unterstützt. Einzelheiten zum Grok-Transformer in CloudWatch Logs finden Sie im Logs-Benutzerhandbuch unter Prozessoren, die CloudWatch Sie verwenden können.

Konfiguration

Konfigurieren Sie den Grok-Prozessor mit den folgenden Parametern:

Wenn es sich bei der Datenquelle um ein Wörterbuch handelt, können Sie diese Konfiguration verwenden:

processor:
  - grok:      
      match:
       source_key: ["%{WORD:level} %{GREEDYDATA:msg}"]

Wenn die Datenquelle CloudWatch Logs ist, können Sie diese Konfiguration verwenden:

processor:
  - grok:      
      match:
       source_key: ["%{WORD:level} %{GREEDYDATA:msg}"]

VPC-Prozessor

Analysiert VPC Flow Log-Daten in strukturierte Felder.

Konfiguration

Konfigurieren Sie den VPC-Prozessor mit den folgenden Parametern:

processor:
  - parse_vpc: {}
     

JSON-Prozessor

Analysiert JSON-Daten in strukturierte Felder.

Konfiguration

Konfigurieren Sie den JSON-Prozessor mit den folgenden Parametern:

processor:
  - parse_json:
      source: "message"
      destination: "parsed_json"

Route 53-Prozessor

Analysiert die Protokolldaten des Route 53-Resolvers in strukturierte Felder.

Konfiguration

Konfigurieren Sie den Route 53-Prozessor mit den folgenden Parametern:

processor:
  - parse_route53: {}
      

Amazon RDS-Prozessor

Analysiert Amazon RDS Aurora-Protokolldaten in strukturierte Felder. Der parse_rds Prozessor wird nur unterstützt, wenn der der Pipeline aktiviert data_source_name istamazon_rds. Es wendet die Parsing-Logik an, die der der Pipeline entsprichtdata_source_type.

Konfiguration

Konfigurieren Sie den Amazon RDS-Prozessor mit den folgenden Parametern:

processor:
  - parse_rds: {}

Key-value Prozessor

Analysiert mit Schlüssel-Wert-Paaren formatierte Daten in strukturierte Felder.

Konfiguration

Konfigurieren Sie den Schlüssel-Wert-Prozessor mit den folgenden Parametern:

processor:
  - key_value:
      source: "message"
      destination: "parsed_kv"
      field_delimiter: "&"
      key_value_delimiter: "="

Verwenden Sie den folgenden Befehl, um den Prozessor ohne Angabe zusätzlicher Parameter zu verwenden:

processor:
  - key_value: {}

XML-Parser

Verwenden Sie den XML-Parser, um ein bestimmtes Feld, das eine XML-Zeichenfolge enthält, in das JSON-Format zu konvertieren. Verwenden Sie den XML-Parser, wenn Ihre Protokollereignisse eingebettete XML-Felder enthalten, die Sie als strukturierte Daten abfragen möchten. Der XML-Parser arbeitet mit einem benannten Feld, das bereits eine XML-Zeichenfolge enthält. Platzieren Sie diesen Parser hinter einem primären Parser in der Pipeline. Sie können einer einzelnen Pipeline maximal 5 parse_xml Parser hinzufügen.

Konfiguration

Konfigurieren Sie den XML-Parser mit den folgenden Parametern:

processor:
  - parse_json:
      source: "@message"
  - parse_xml:
      source: "body"
      destination: "parsed_xml"

Beispiel — XML-Parser-Ausgabe

Angesichts des folgenden JSON-Protokollereignisses mit einem eingebetteten XML-Feld:

{
  "body": "<Person id=\"123\" active=\"true\"><name>John</name><age>30</age></Person>"
}

Mit der folgenden Konfiguration:

processor:
  - parse_json:
      source: "@message"
  - parse_xml:
      source: "body"
      destination: "parsed_xml"

Der XML-Parser erzeugt die folgende Ausgabe:

{
  "body": "<Person id=\"123\" active=\"true\"><name>John</name><age>30</age></Person>",
  "parsed_xml": {
    "id": "123",
    "active": "true",
    "name": "John",
    "age": "30"
  }
}