Splunkでサーチ文内でフィールド定義したい。。
2年弱セキュリティに関わるログ収集等をやってきてます。ログ集計していく中で、定義されていない値を確認したいときが、稀に存在します。今はハイパー人力で、あてはまるキーワードをサーチ文（SPL)に入れて検索して数値を引っ張り出しています。これだと時間がやたらかかるし、個人の裁量次第になってしまいます。なんとかできないかと調べていくとrexとregexというワードに出会いました。このrex、regexを使ってフィールドを定義したいと思ったんですが、うまくハマらずやり方がわからない状況だったので、Chat GPTくんにやり方を聞きました。regexは正規 表現を使用したフィルタを行うもののようです。一方で、rexは正規表現でフィールドを定義するもののようです。←こっちが本命抜き出したフィールドを集計する場合は、別途statsとかtimechartとかで集計してあげる必要がありそうです。サーチ文の書き方もちょっとなじみがないものでした。rexの後にフィールド名を書くのでなく、rex field=_rawなどと指定してあげなければならなそうな状況でした。 index=aaa_log | rex field=_raw (?P<new field>[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3})（そもそもGUIの正規表現で抜けばいいじゃんというのはなしでおなしゃす）ともかく、明日現場で検索文打ってみて、様子見ましょうかね
