Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Processori parser

I processori parser convertono i dati di registro grezzi o semistrutturati in formati strutturati. Ogni pipeline può avere al massimo un parser processor primario, che deve essere il primo processore della pipeline. Il parser XML è un'eccezione: opera su campi prodotti da un parser primario ed è possibile aggiungere al massimo 5 istanze a una singola pipeline.

Processore OCSF

Analizza e trasforma i dati di registro secondo gli standard Open Cybersecurity Schema Framework (OCSF).

Configurazione

Configura il processore OCSF con i seguenti parametri:

processor:
  - ocsf:
      version: "1.5"
      mapping_version: 1.5.0
      schema:
          microsoft_office365_management_activity:

Questa tabella elenca le combinazioni di schemi supportate.

Processore CSV

Analizza i dati in formato CSV in campi strutturati.

Configurazione

Configura il processore CSV con i seguenti parametri:

processor:
  - csv:      
      column_names: ["col1", "col2", "col3"]
      delimiter: ","
      quote_character: '"'

Per utilizzare il processore senza specificare parametri aggiuntivi, utilizzate il seguente comando:

processor:
  - csv: {}

Processore Grok

Analizza i dati non strutturati utilizzando i modelli Grok. È supportato al massimo 1 Grok per pipeline. Per i dettagli sul trasformatore Grok in CloudWatch Logs, consulta Processori che puoi usare nella Logs User Guide. CloudWatch

Configurazione

Configura il processore Grok con i seguenti parametri:

Quando l'origine dati è un dizionario, puoi usare questa configurazione:

processor:
  - grok:      
      match:
       source_key: ["%{WORD:level} %{GREEDYDATA:msg}"]

Quando l'origine dati è CloudWatch Logs, puoi usare questa configurazione:

processor:
  - grok:      
      match:
       source_key: ["%{WORD:level} %{GREEDYDATA:msg}"]

Processore VPC

Analizza i dati del VPC Flow Log in campi strutturati.

Configurazione

Configura il processore VPC con i seguenti parametri:

processor:
  - parse_vpc: {}
     

Processore JSON

Analizza i dati JSON in campi strutturati.

Configurazione

Configura il processore JSON con i seguenti parametri:

processor:
  - parse_json:
      source: "message"
      destination: "parsed_json"

Processore Route 53

Analizza i dati del registro del resolver Route 53 in campi strutturati.

Configurazione

Configura il processore Route 53 con i seguenti parametri:

processor:
  - parse_route53: {}
      

Processore Amazon RDS

Analizza i dati di log di Amazon RDS Aurora in campi strutturati. Il parse_rds processore è supportato solo quando quello della pipeline lo è. data_source_name amazon_rds Applica la logica di analisi che corrisponde a quella della pipeline. data_source_type

Configurazione

Configura il processore Amazon RDS con i seguenti parametri:

processor:
  - parse_rds: {}

Key-value processore

Analizza i dati formattati con coppie chiave-valore in campi strutturati.

Configurazione

Configura il processore chiave-valore con i seguenti parametri:

processor:
  - key_value:
      source: "message"
      destination: "parsed_kv"
      field_delimiter: "&"
      key_value_delimiter: "="

Per utilizzare il processore senza specificare parametri aggiuntivi, utilizzate il seguente comando:

processor:
  - key_value: {}

parser XML

Utilizzate il parser XML per convertire un campo specificato che contiene una stringa XML in formato JSON. Utilizzate il parser XML quando gli eventi di registro contengono campi XML incorporati che desiderate interrogare come dati strutturati. Il parser XML funziona su un campo denominato che contiene già una stringa XML. Posiziona questo parser dopo un parser primario nella pipeline. È possibile aggiungere al massimo 5 parse_xml parser a una singola pipeline.

Configurazione

Configura il parser XML con i seguenti parametri:

processor:
  - parse_json:
      source: "@message"
  - parse_xml:
      source: "body"
      destination: "parsed_xml"

Esempio: output del parser XML

Dato il seguente evento di registro JSON con un campo XML incorporato:

{
  "body": "<Person id=\"123\" active=\"true\"><name>John</name><age>30</age></Person>"
}

Con la seguente configurazione:

processor:
  - parse_json:
      source: "@message"
  - parse_xml:
      source: "body"
      destination: "parsed_xml"

Il parser XML produce il seguente output:

{
  "body": "<Person id=\"123\" active=\"true\"><name>John</name><age>30</age></Person>",
  "parsed_xml": {
    "id": "123",
    "active": "true",
    "name": "John",
    "age": "30"
  }
}