convert ip to decimal

IP 주소를 십진수로 바꿔주는 런타임 필드 쿼리.

GET testindex/_search
{
  "runtime_mappings": {
    "ip_pow": {
      "type": "long",
      "script": """
        def result = 0;
        def pow = 3;
        for (i in doc['message.keyword'].value.splitOnToken('.')) {
          result += Integer.parseInt(i) * Math.pow(256, pow);
          pow -= 1;
        }

Splunk의 fillnull

듬성듬성 이빨 빠진 테이블 구조.

Splunk의 makeresults - 2nd

두 필드가 1:1로 대응하는 구조를 만들고 싶다. 

TA-linux_secure - 2nd

TA-linux_secure의 transforms.conf 설정 중 다음 네 번째 캡쳐그룹은 사용자 ID 정보를 추출해서 user 필드에 저장한다.

그런데 ID 입력이 없는 접속이 발생하면 검사 실패. 수량자 +는 최소 검사 범위 제한(1개)이 있기 때문에 검사 위치에 문자열이 없으면 당연한 결과.