Transforme Custom Logs em tabelas consultáveis.

Quando nenhuma outra opção servir. Os perfis integrados abrangem controladores de máquinas, servidores Web, contêineres, frameworks de aplicativos e logs do sistema, e cada um foi criado e testado com arquivos reais — portanto, se o seu log for de um desses tipos, selecioná-lo dá menos trabalho e é mais bem testado do que descrevê-lo você mesmo.

Execute o Teste de conexão antes de decidir. O Agente compara o formato do seu arquivo com os perfis fornecidos e oferece o mais próximo que reconhece, portanto, a resposta vem dos seus arquivos reais, e não de uma suposição. Se o teste não retornar nenhuma informação, solicite uma descrição.

Geralmente não. Cinco das seis gramáticas não precisam de padrão algum: um arquivo delimitado precisa de um separador, um arquivo chave=valor se descreve, linhas JSON se descrevem, uma diretiva de cabeçalho nomeia suas próprias colunas e largura fixa precisa de um início e um comprimento por coluna.

Grok é a sexta opção e serve como saída para linhas realmente complicadas. Mesmo nesse caso, você basicamente monta componentes nomeados — um timestamp, um nível, o restante — e pode aproveitar as bibliotecas de padrões dos perfis integrados, em vez de começar do zero.

Não, e as configurações padrão já estão definidas para que você não precise fazer isso. Por padrão, a primeira sincronização é bem-sucedida em praticamente qualquer arquivo de texto: um mensagem uma coluna por linha, com a hora do evento obtida da data de modificação do arquivo. Assim, você tem uma tabela funcional que pode consultar.

A partir daí, você refina. A prévia mostra como sua descrição trata as próprias linhas, permitindo extrair uma gravidade ou um número de tarefa para sua própria coluna e ver o resultado antes de confirmar. Altere depois e sincronize novamente — nada terá sido descartado nesse meio-tempo.

Sim, e essa é a configuração de que as pessoas mais precisam. Um registro não precisa corresponder a uma linha: você pode definir que ele começa sempre que uma linha corresponder a um padrão — normalmente, um timestamp na margem esquerda — e que tudo depois disso pertence a esse registro até a próxima correspondência.

Existem outras cinco maneiras de desenhar o limite se esse não for o formato desejado: uma linha em branco entre os registros, um marcador de abertura e fechamento, uma regra para o que conta como uma linha de continuação ou um número fixo de linhas. Uma exceção de vinte linhas, nesse caso, aparece como uma única linha contendo todo o traçado.

Esse é o caso padrão, e funciona. Quando nenhum campo é definido como horário, a hora do evento vem da data de modificação do arquivo — assim, as linhas continuam sendo classificadas e respeitando um período de retenção; apenas têm a precisão do arquivo, não da linha.

Se o horário estiver na linha, mas dividido em dois campos — uma coluna de data e outra de hora, algo comum em arquivos de largura fixa e delimitados — você pode indicar ambos para combiná-los em um único timestamp.

UTF-8 é a resposta correta para a maioria dos arquivos escritos nesta década. É o único campo sem valor padrão, e isso é intencional: presumir que UTF-8 em um arquivo Latin-1 não gera um erro, corrompe silenciosamente todos os caracteres acentuados, e uma corrupção silenciosa é muito pior do que uma pergunta feita uma única vez.

Se não tiver certeza, a prévia mostrará — uma codificação incorreta aparece imediatamente como texto ilegível nas linhas de amostra. Softwares antigos do Windows e equipamentos industriais são os motivos mais comuns para a resposta não ser UTF-8.

Fale conosco. Se for um formato usado por um número razoável de pessoas — um produto comercial, um framework comum ou um equipamento industrial — preferimos muito mais oferecê-lo como perfil integrado do que pedir que cada cliente descreva a mesma coisa. O conector leva diretamente a uma solicitação.

Uma solução integrada é melhor tanto para você quanto para nós: ela é definida pelo Agente, testada com capturas reais e chega aos seus servidores com uma atualização do Agente, em vez de exigir que alguém mexa em um conector.

Elas são mantidas, não descartadas. Uma linha cuja gramática não corresponde é retida como uma linha bruta com uma justificativa anexada; assim, uma entrada atípica, um formato que mudou sem a sua autorização ou uma descrição que ainda não está totalmente correta aparece como algo que você pode ver e questionar, em vez de uma lacuna silenciosa em seus números.

Essa é a rede de segurança que torna razoável refinar uma descrição. Você nunca precisa escolher entre um analisador estrito que descarta dados e um flexível que produz um paredão de texto — as linhas analisadas têm tipos, e tudo o que não foi analisado continua disponível ao lado delas.