Convierte Custom Logs en tablas consultables.

Cuando ninguna otra opción encaja. Los perfiles integrados cubren controladores de máquinas, servidores web, contenedores, marcos de aplicaciones y registros del sistema, y cada uno se ha creado y probado con archivos reales. Así que, si tu registro es de uno de esos tipos, elegirlo requiere menos trabajo y está mejor probado que describirlo tú mismo.

Realiza una prueba de conexión antes de decidir. El agente compara la estructura de tu archivo con los perfiles predefinidos y te ofrece el que mejor se ajusta a sus características, por lo que la respuesta se basa en tus archivos reales y no en una suposición. Si no obtienes ninguna respuesta, solicita una descripción.

Por lo general, no. Cinco de las seis gramáticas no necesitan ningún patrón: un archivo delimitado necesita un separador, un archivo clave=valor se describe a sí mismo, las líneas JSON se describen a sí mismas, una directiva de encabezado nombra sus propias columnas y el ancho fijo necesita un inicio y una longitud por columna.

Grok es la sexta opción y sirve de salida para las líneas realmente complicadas. Incluso entonces, en general solo tienes que combinar piezas con nombre —una marca de tiempo, un nivel y el resto—; además, puedes aprovechar las bibliotecas de patrones que respaldan los perfiles integrados, en lugar de empezar desde cero.

No, y los valores predeterminados están configurados para que no tengas que hacerlo. De forma predeterminada, una primera sincronización se realiza correctamente en casi cualquier archivo de texto: uno mensaje una columna por línea, con la hora del evento tomada de la fecha de modificación del archivo. Así obtienes una tabla funcional que puedes consultar.

A partir de ahí, puedes perfeccionarla. La vista previa muestra cómo afecta tu descripción a tus propias líneas, para que puedas extraer una gravedad o un número de trabajo en una columna propia y ver el resultado antes de confirmarlo. Cámbiala más adelante y vuelve a sincronizar: mientras tanto, no se habrá descartado nada.

Sí, y este es el ajuste que más suele necesitar la gente. Un registro no tiene por qué ser una línea: puedes indicar que empieza cada vez que una línea coincide con un patrón —lo habitual es una marca de tiempo en el margen izquierdo— y que todo lo que viene después pertenece a ese registro hasta la siguiente coincidencia.

Existen otras cinco formas de trazar el límite si esa no es la forma deseada: una línea en blanco entre registros, un marcador de apertura y cierre, una regla para determinar qué se considera una línea de continuación o un número fijo de líneas. Una excepción de veinte líneas se presenta entonces como una sola fila que contiene todo el rastro.

Ese es el caso predeterminado y funciona. Si no se especifica ningún campo como hora, la hora del evento se toma de la fecha de modificación del archivo; así, las filas se ordenan y siguen respetando un periodo de retención, aunque la hora sea precisa para el archivo y no para cada línea.

Si la hora aparece en la línea, pero está repartida en dos campos —una columna de fecha y otra de hora, algo habitual en archivos de ancho fijo y delimitados—, puedes especificar ambos para combinarlos en una sola marca de tiempo.

UTF-8 es la respuesta correcta para la mayoría de los archivos escritos en esta década. Es el único campo sin valor predeterminado, y esto es intencional: asumir que UTF-8 en un archivo Latin-1 no genera un error, distorsiona silenciosamente cada carácter acentuado, y una corrupción silenciosa es mucho peor que una pregunta formulada una sola vez.

Si no estás seguro, la vista previa te lo indicará: una codificación incorrecta se muestra inmediatamente como texto ilegible en las filas de muestra. El software antiguo de Windows y los equipos industriales suelen ser los motivos por los que la respuesta no es UTF-8.

Pregúntanos. Si es un formato que utiliza un número razonable de personas —un producto comercial, un framework común o un equipo industrial—, preferimos incluirlo como perfil integrado a que cada cliente tenga que describir lo mismo. El conector enlaza directamente a una solicitud.

Una solución integrada es mejor tanto para usted como para nosotros: está integrada en el Agente, probada con capturas reales y llega a sus servidores con una actualización del Agente, en lugar de requerir que nadie toque un conector.

Se conservan, no se eliminan. Una línea cuya gramática no coincide se mantiene como una fila sin formato con una explicación adjunta, de modo que una entrada extraña, un formato que cambió bajo tu supervisión o una descripción que aún no es del todo correcta aparece como algo que puedes ver y consultar, en lugar de como un hueco silencioso en tus números.

Esa es la red de seguridad que hace razonable perfeccionar una descripción. Nunca tienes que elegir entre un analizador estricto que descarta datos y uno permisivo que te ofrece un muro de texto: las filas analizadas tienen tipos y todo lo que no se haya podido analizar sigue estando ahí, junto a ellas.