Splunk：尝试在搜索时拆分多行事件

Question

2018-06-20T00:04:35.000+00:00 (980) WAL Autocheckpointing, name=C:\Program 
Files\PriceService\data\documents.db
2018-06-20T00:07:16.000+00:00 (980) WAL Autocheckpointing, name=C:\Program 
Files\PriceService\data\store-promotions.db
2018-06-20T00:07:21.000+00:00 (980) WAL Autocheckpointing, name=C:\Program 
Files\PriceService\data\store-promotions.db
2018-06-20T00:07:26.000+00:00 (980) WAL Autocheckpointing, name=C:\Program 
Files\PriceService\data\store-promotions.db

我一直在尝试正确执行 splunk 查询，以便将这一事件拆分为多个事件，但由于某种原因，我无法正确执行查询。

我尝试在换行符上拆分，但结果集返回不变。我从网上阅读了解到我应该使用以下内容

myQuery | rex field=_raw "\[(?P<field1>...).*[\r\n]"

顺便说声抱歉。我的正则表达式游戏不强。

Answer 1

我意识到这可以简单地使用来完成

myQuery | multikv noheader=t

我希望这对其他人有帮助，因为我花了几个小时试图使正则表达式正确。

编辑：固定命令。