nullqueue regex não está funcionando conforme esperado

Aplicabilidade

Empresa Splunk

Descrição

Temos vários casos de uso em que implementamos esse padrão "Mantenha eventos específicos e descarte o restante". 
https://docs.splunk.com/Documentation/SplunkCloud/6.6.3/Forwarding/Routeandfilterdatad#Keep_specific_events_and_discard_the_rest

Esbarramos em um caso em que tínhamos transformações de fila nula definidas abaixo em nossos indexadores. Verificamos que este regex corresponde a todos os nossos eventos. Em seguida, XXX corresponde ao subconjunto de eventos que queremos manter e enviar para o índice <INDEX>. 

Transformações:

[YYY]
REGEX = .*LogName=Security.*
DEST_KEY = queue
FORMAT = nullQueue[XXX]
REGEX=(?msi)^EventCode=(<NUMBERS IN A REGEX>)
DEST_KEY = _MetaData:Index
FORMAT = <INDEX>

Suplementos:

[WinEventLog:Security]
TRANSFORMS-set=YYY, XXX

Isso não funcionou. Não tínhamos nada em <INDEX>. Então quando mudamos YYY regex para "REGEX=." funcionou bem. No entanto, devemos ser capazes de REGEX nullque com regexp mais específico do que "." quando ele realmente coincide com todos os eventos.

Investigação

Comparando a conferência do usuário com a documentação, observou-se que todos os diagramas de trabalho começaram com um teste de chamada. Podemos ter várias extrações do catchall, permitindo que o usuário seja tão granular com o catchall no lugar.

https://docs.splunk.com/Documentation/SplunkCloud/6.6.3/Forwarding/Routeandfilterdatad#Keep_specific_events_and_discard_the_rest

Resolução

Configure props e transformações para ter a primeira transformação nullqueue com algum regex diferente de ".". Em seguida, outra transformação com regex mais específico e algum índice e espera que os dados vão para esse índice.

Transformações:

[XXX]
REGEX = .
DEST_KEY = queue
FORMAT = nullQueue[YYY]
REGEX=(?msi)^EventCode=(<NUMBERS IN A REGEX>)
DEST_KEY = _MetaData:Index
FORMAT = <INDEX>[ZZZ]
REGEX= <LOG NAME REGEX>
DEST_KEY = _MetaData:Index
FORMAT = <DIFFERENT INDEX>

Suplementos:

[WinEventLog:Security]
TRANSFORMS-set=XXX, YYY, ZZZ

Links relacionados

Documentação do Splunk
Manter eventos específicos e descartar o restante:
https://docs.splunk.com/Documentation/SplunkCloud/6.6.3/Forwarding/Routeandfilterdatad#Keep_specific_events_and_discard_the_rest

Histórico de revisões

Revisão	Data de publicação	Comentários
1.0	28-Sep-2026	Versão inicial