LogParser의 문자열 처리

이벤트 전체 현황을 보고 싶다. 첫 번째 문장만 추출하면 되겠는데?

.을 기준으로 첫 번째 문장 추출. 그런데 .이 없는 이벤트가 있다. 

첫 번째 문장 추출 조건에 : 추가. 그런데 . 기준 첫 번째 문장에서 : 존재를 확인하는 CASE-WHEN 구문이 먹지 않는다. Logparser의 한계. SQL 지원 범위 좀 확장하면 안 되나? 마소는 가브리엘님을 다시 영입하라

구문 변경.

찾다보면 더 쉽게도 가능

내가 보고 싶은 상태가 있을 때, 그때서야 비로소 그 상태를 볼 수 있는 데이터 구조와 그 구조를 만들 수 있는 방법을 고민하게 된다. 뭘 보고 싶은지를 모르겠다고? 데이터를 자꾸 만지작거리다 보면 생김.

데이터를 이리저리 만져보고 질감을 느끼기 시작하면서 문제의 구조가 보이고 모델링에 대한 단초가 잡힌다

그리고 이런 경험이 스플렁크,

엘라스틱으로 이어진다.

툴은 바뀌었지만 하는 일은 똑같다는 얘기. 쉬울 수밖에 없다.

관련 글

• LogParser의 파일 연동
• URL, HEX, BASE64 디코딩
• Splunk의 eval과 rex - 4th