matchsig

필드의 문자열 값이 지정된 패턴 그룹에 포함되는지 확인하고, 매칭 결과에 따라 레코드를 필터링합니다.

명령어 속성

문법

위 문법에서 name은 4.0.2609.0부터 사용할 수 있습니다.

옵션

guid=STR

매칭에 사용할 패턴 그룹의 GUID입니다. 5.0 계열(5.0.2605.2까지)에서는 그룹을 지정하는 유일한 방법입니다. 4.0 계열(4.0.2609.0 이상)에서는 name과 함께 사용할 수 없으며, guid 또는 name 옵션 중 하나를 반드시 지정해야 합니다.

name=STR

매칭에 사용할 패턴 그룹의 이름입니다(guid와 함께 사용할 수 없음). guid 또는 name 옵션 중 하나를 반드시 지정해야 합니다. 이 옵션은 4.0.2609.0부터 사용할 수 있으며, 5.0 계열(5.0.2605.2까지)에서는 사용할 수 없습니다.

field=STR

패턴 매칭 대상 문자열 필드 이름

invert=BOOL

t로 지정하면 패턴 그룹에 매칭되지 않는 레코드만 출력합니다. (기본값: f)

verify=BOOL

f로 지정하면 파싱 단계에서 패턴 그룹 유효성 검사를 생략합니다. (기본값: t)

입력 필드

출력 필드

입력 레코드의 필드를 그대로 전달합니다. 패턴이 일치한 레코드에는 다음 필드가 추가됩니다.

invert=t를 지정하면 출력되는 레코드는 매칭되지 않은 레코드이므로 이 필드가 추가되지 않습니다.

오류 코드

파싱 오류

런타임 오류

설명

matchsig 명령어는 입력 레코드에서 지정된 필드의 문자열 값이 패턴 그룹에 정의된 패턴과 매칭되는지 확인합니다. 매칭되는 레코드만 출력하며, invert 옵션을 t로 지정하면 매칭되지 않는 레코드만 출력합니다.

guid 옵션으로 매칭에 사용할 패턴 그룹을 지정합니다. 4.0 계열(4.0.2609.0 이상)에서는 name 옵션도 사용할 수 있으며, 이 경우 해당 이름의 패턴 그룹을 조회하여 GUID를 확인합니다. guid와 name을 동시에 지정하거나 모두 생략하면 오류가 발생하며, name으로 지정한 이름이 존재하지 않거나 여러 그룹에서 중복되는 경우에도 오류가 발생합니다.

필드 값이 null인 경우 매칭되지 않은 것으로 처리합니다. null이 아닌 값은 문자열로 변환하여 패턴 매칭을 수행합니다.

분산 환경에서는 수집 노드에서 필터링을 수행합니다.

사용 예

이 사용 예에서 조회하는 WEB_APACHE_SAMPLE 테이블을 준비하려면 쿼리 실습용 데이터를 참고하세요.

1. 웹 로그의 URI를 패턴 그룹으로 필터링

   table limit=1000 WEB_APACHE_SAMPLE
   | matchsig guid=550e8400-e29b-41d4-a716-446655440000 field=uri
   

   웹 서버 접근 로그의 URI 필드 값이 지정한 패턴 그룹에 매칭되는 레코드만 출력합니다.

2. 패턴 그룹에 매칭되지 않는 레코드 추출

   table limit=1000 WEB_APACHE_SAMPLE
   | matchsig guid=550e8400-e29b-41d4-a716-446655440000 field=uri invert=t
   

   URI 필드 값이 패턴 그룹에 매칭되지 않는 레코드만 출력합니다.

3. 이름으로 패턴 그룹 지정 (4.0 계열, 4.0.2609.0 이상)

   table limit=1000 WEB_APACHE_SAMPLE
   | matchsig name=sql_injection field=uri
   

   GUID 대신 이름으로 패턴 그룹을 지정하여 매칭합니다.

변경 이력