6. アラートを設定する 一覧へ 8. ユーザを管理する
Jun xx xx:xx:xx linux kernel: CIFS: Attempting to mount //192.168.2.134/share
ログを項目ごとに扱えるようにしておくことで、ログ本文全体に対するキーワード検索だけでなく、特定の項目を条件にした検索や可視化を行いやすくなります。
. (ドット)として表現されます。例えば、次のようなオブジェクトがあるとします。{
"status": 200,
"timestamp": "2026-06-01T19:19:24.646170Z",
"message": "SUCCESS",
"username": "ub40fan4life"
}
このオブジェクト全体が . (ドット)と表現され、その配下にあるフィールドには .status や .timestamp などのようにアクセスできます。
VRL内では、オブジェクトにデータを代入することができます。例えば、以下のように新しいフィールドを定義することができます。
# 文字列の代入
.sample = "sample message"
# 新しいオブジェクトの生成
.sample_obj = {}
また、既存のフィールドを上書きすることもできます。以下は .timestamp に格納されている日付情報を、Unixタイムスタンプに変換し、再代入する例です。
.timestamp = to_unix_timestamp!(.timestamp)
VRLで利用できるデータ形式は以下の通りです。
# Integer(数値)
.int = 100
.int = 1_000_000
# Float(小数)
.float = 0.1
# String(文字列)
.str = "string"
# Array(配列)
.arr = ["str", 0]
.arr = ["str", 0]
# Boolean(論理値)
.bool = true
.bool = false
# Object(オブジェクト)
.obj = {"field": "value"}
# Regular Expression(正規表現)
.regexp = r'^Hello, World!$'
VRLで利用できる主な式は以下の通りです。
# 加算
val = 1 + 1
str = "Hello " + "World"
# 減算
val = 2 - 1
# 乗算
val = 2 * 2
# 除算
val = 4 / 2
==!=>=><=<VRLで利用できる論理演算子は以下の通りです。
&&||!VRLでは、以下のように if 、 else 、 else if を使って条件分岐を行うことができます。
if (x == 1) {
"Hello, World1"
} else if (x == 2) {
"Hello, World2"
} else {
null
}
検査関数は、指定した値のデータ型や状態を確認するための関数です。
| 関数 | 説明 |
|---|---|
| is_array() | 配列の場合に真を返します。 |
| is_boolean() | 論理値の場合に真を返します。 |
| is_empty() | 文字列か配列・オブジェクトの要素数が0の場合に真を返します。 |
| is_null() | nullの場合に真を返します。 |
| is_integer() | intの場合に真を返します。 |
| is_string() | intの場合に真を返します。 |
| is_json() | json形式の場合に真を返します。 |
| is_timestamp() | RFC3339形式の時刻情報の場合に真を返します。 |
変換系の関数は、文字列や数値、時刻情報などを別の形式に変換するための関数です。
| 関数 | 説明 |
|---|---|
| decode_base64() | base64エンコードされた文字列を、元の文字列にして返します。 |
| encode_base64() | 文字列をbase64エンコードして返します。 |
| to_int() | 引数をint型にして返します。 |
| to_string() | 引数をstring型にして返します。 |
| to_unix_timestamp() | RFC3339形式の時刻情報をUnixタイムスタンプに変換します。 |
フォーマットの解析関数は、特定の形式で出力されたログを解析するための関数です。
| 関数 | 説明 |
|---|---|
| parse_apache_log() | apache形式のログを解析します。 |
| parse_grok() | GROKパターンを使いログを解析します。 |
| parse_syslog() | syslog形式のログを解析します。 |
本章では、ファンクションを作成し、ログ本文をフィールドに分解する方法を記載します。例として、messagesストリームに保存されたログの body フィールドから、プロセス名とメッセージ部分を取り出すためのファンクションを作成します。
対象となるログは以下の通りです。
Jun 17 17:00:02 linux kernel: CIFS: Attempting to mount //192.168.2.134/share
kernel がプロセス名に相当し、 CIFS: Attempting to mount //192.168.2.134/share がメッセージ部分に相当します。| フィールド名 | 内容 |
|---|---|
| process_name | ログを出力したプロセス名を格納します。例では kernel を格納します。 |
| messages | ログ本文のメッセージ部分を格納します。例では CIFS: Attempting to mount //192.168.2.134/share を格納します。 |
パイプライン -> 関数 の順にクリックするか、 ホーム画面中央の 関数 をクリックします。
関数を作成 をクリックします。
以下の項目を設定します。
parsed = parse_regex!(.body, r'^\w+\s+\d+\s+\d+:\d+:\d+\s+\S+\s+(?P<process_name>[^[:]+)(?:[\d+])?:\s+(?P<message>.*)$')
.process_name = parsed.process_name
.message = parsed.message
上記の例では、body フィールドに格納されたログ本文を正規表現で解析し、以下のフィールドを追加しています。
| フィールド名 | 内容 |
|---|---|
| process_name | ログを出力したプロセス名を格納します。例では kernel を格納します。 |
| messages | ログ本文のメッセージ部分を格納します。例では CIFS: Attempting to mount //192.168.2.134/share を格納します。 |
[
{
"_timestamp": 1735128523652186,
"body": "Jun 17 17:00:02 linux kernel: CIFS: Attempting to mount //192.168.2.134/share"
}
]
設定が完了したら 関数をテスト をクリックしテストを行い、出力内容に問題なければ 保存 をクリックします。
ファンクション作成後は、ログ検索画面にて、対象のログにファンクションを適用します。
