0

Tengo mi archivo log /var/log/secure.log con los siguientes registros:

2022-11-11T10:13:16.586508-06:00
 rfs (PID:25135): Selected LNO:13 for T-1.S-151610 dbid 3149211838 branch 1041328339
2022-11-11T12:13:16.827496-06:00
ARC1 (PID:19895): Archived Log entry 44486 added for T-1.S-151609 ID 0xbf247d21 LAD:1
2022-11-12T10:14:41.924128-06:00
 rfs (PID:32409): Selected LNO:14 for T-2.S-128980 dbid 3149211838 branch 1041328339
2022-11-12T10:14:42.008209-06:00
ARC2 (PID:19897): Archived Log entry 44487 added for T-2.S-128979 ID 0xbf247d21 LAD:1
2022-11-13T10:19:04.635669-06:00
 rfs (PID:25135): Selected LNO:16 for T-1.S-151611 dbid 3149211838 branch 1041328339
2022-11-13T10:19:04.829983-06:00
ARC1 (PID:19895): Archived Log entry 44488 added for T-1.S-151610 ID 0xbf247d21 LAD:1
2022-11-13T10:24:07.744536-06:00
 rfs (PID:25135): Selected LNO:13 for T-1.S-151612 dbid 3149211838 branch 1041328339
2022-11-14T10:24:07.927823-06:00
ARC1 (PID:19895): Archived Log entry 44489 added for T-1.S-151611 ID 0xbf247d21 LAD:1
2022-11-14T10:24:42.312711-06:00
 rfs (PID:32409): Selected LNO:15 for T-2.S-128981 dbid 3149211838 branch 1041328339

Supongamos que mi hora actual, son las 10:45:00 am del 14/11/2022 tiempo de México y mi último registro fue a las 10:24:42 tiempo México.

Con grep, quiero buscar en ese log todas las líneas que tenga el texto "branch" pero de los últimos 30 minutos. Para ello estoy intentando ocupar el siguiente comando:

grep "branch" /var/log/secure.log | date -d "30 min ago"

Pero definitivamente no me funciona del todo, como tal solo me imprime la hora de hace 30 minutos atrás.

[user@ip-172-31-26-166]# grep "branch" /var/log/secure.log | date -d "30 min ago"
Mon Nov 14 10:15:24 CST 2022

1 respuesta 1

1

Las marcas de tiempo en su archivo están en ISO-8601, eso está bien.

Lo primero que hay que hacer es determinar la fecha actual y la fecha de hace 30 minutos en el mismo formato.

La fecha actual en ISO-8601:

date +"%Y-%m-%dT%H:%M:%S.%N-%:z"

Hace 30 minutos:

date --date "30 min ago" +"%Y-%m-%dT%H:%M:%S.%N-%:z"

El formato ISO es muy conveniente para las comparaciones de texto (ASCII).

#! /usr/bin/env bash

awk \
-v end_date=$(date +"%Y-%m-%dT%H:%M:%S.%N-%:z") \
-v begin_date=$(date --date "30 min ago" +"%Y-%m-%dT%H:%M:%S.%N-%:z") \
'
/branch/ && $1 >= begin_date && $1 <= end_date {
    print
}
' \
< "secure.log"

ACTUALIZACIÓN:

Si las marcas de tiempo no están en las mismas líneas que los datos de registro (que están en una sola línea), el programa es un poco más complicado:

#! /usr/bin/env bash

awk \
-v end_date=$(date +"%Y-%m-%dT%H:%M:%S.%N-%:z") \
-v begin_date=$(date --date "30 min ago" +"%Y-%m-%dT%H:%M:%S.%N-%:z") \
'
$1 >= begin_date && $1 <= end_date {
    flag=1
    date_line = $0
    next;
}
$1 ~ /^[-0-9]+T[-.:0-9]+$/ {
    flag=0
}
/branch/ && flag == 1 {
    print date_line, $0
}
' \
< "secure.log"

Nota: Perdón por mi español

20
  • Excelente respuesta. Aún así, en la pregunta se ha especificado que queria usar grep y también la búsqueda de la cadena branch. ¿Puedes afinar tu respuesta con esas premisas para que lo tenga todo resuelto? Gracias
    – masterguru
    el 14 nov. 2022 a las 18:15
  • Gracias Arnaud, @masterguru. En realidad esa búsqueda con el grep intento meterlo en un shell script, para que se ejecute cada 30 minutos y si en ese rango me aparece la cadena "branch", la voy a mandar por correo. Bueno esa es mi idea. No se si exista una forma más sencilla o practica, les agradecería mucho
    – Antonio
    el 14 nov. 2022 a las 18:41
  • @Anthony Prueba con esta respuesta de Arnaud, pero en la parte final le cambias < "secure.log" por < "secure.log" | grep -i "branch". Seguramente te funcionará.
    – masterguru
    el 14 nov. 2022 a las 19:54
  • Gracias @masterguru ya lo intente, pero no imprime nada. Claro, tengo entendido que la respuesta de Arnaud, va en un archivo shell, correcto?. Tampoco me da devuelve algún error.
    – Antonio
    el 14 nov. 2022 a las 20:13
  • mmm... se habrá equivocado en alguna parte del script... si le quitas el grep que te he dicho te devuelve algo? Cambiale los treinta minutos por "8 hour ago" a ver si cuela y es un fallo de la diferencia horaria que tienes con el log. O sea, primero comprueba que algo devuelve alguna vez, y cuando lo consigas entonces le metes el grep de filtro de esos resultados. Para ejecutarlo entiendo que lo haces con "bash script.sh" o "source script.sh" o "./script.sh" para que te coga el interprete correctamente
    – masterguru
    el 14 nov. 2022 a las 20:17

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.