如何从 nxlog 转发的日志中删除 N/A

Question

我已经在Windows DNS服务器中启用了调试模式，日志文件位于c：\logs\dns.log

<181>Jan  2 11:41:40 DC-SE-01 MSWinEventLog        1        N/A        1011398786        Tue Jan  2 11:41:40 2018        N/A        N/A        N/A        N/A        N/A        N/A        N/A                        N/A
<181>Jan  2 11:41:40 DC-IN-01 MSWinEventLog        1        N/A        1011398810        Tue Jan  2 11:41:40 2018        N/A        N/A        N/A        N/A        N/A        N/A        N/A                        N/A
<181>Jan  2 11:41:40 DC-IN-01 MSWinEventLog        1        N/A        1011398825        Tue Jan  2 11:41:40 2018        N/A        N/A        N/A        N/A        N/A        N/A        N/A                1/2/2018 11:41:38 AM 0A48 PACKET  00BACCA157DAE01 UDP Snd 11.11.201.81   3b20 R Q [8281   DR SERVFAIL] A      (8)tnmaster(0)        N/A

我认为这些消息并不重要，那么如何从 nxlog 中删除这些消息以及为什么"N/A"在那里？

以下是 nxlog.conf 文件的相关部分

<Input>
Module im_file
File  "C:logsdns.log"
InputType LineBased
Exec $Message=$raw_event; $SyslogFacilityValue=22;
</Input>
<Output logger>
Module om_udp
Host 11.11.11.10
Port 514
Exec to_syslog_snare();
</Output>
<Route 3>
    Path dnsdebug => logger
</Route>

Answer 1

Snare 系统日志格式基本上是一个制表符分隔的字符串，它假定某些字段，例如EventID，因为它主要用于通过系统日志传输 Windows 事件日志。

为了生成输出，需要填充这些字段。当您从文件中读取DNS日志时，显然这些字段不会自动解析，因此输出在这些位置N/A。

有关详细信息，请参阅 NXLog 用户指南中的圈套主题。由于您正在尝试收集dns.log因此收集 DNS 日志主题也可能相关。