# Grok фильтр поиск всех вхождений

**URL:** <https://discuss.elastic.co/t/grok/158440>\
**Category:** Вопросы на русском языке\
**Created:** [November 28, 2018, 1:50am UTC](https://discuss.elastic.co/t/grok/158440 "2018-11-28T01:50:51Z")\
**Posts on this page:** 4\
**Page:** 1

<div class="post-metadata">

**Author:** ![orsa](https://avatars.discourse-cdn.com/v4/letter/o/5daacb/32.png) [@orsa](https://discuss.elastic.co/u/orsa)\
**Post date:** [November 28, 2018, 1:50am UTC](https://discuss.elastic.co/t/grok/158440/1 "2018-11-28T01:50:51Z")

</div>

Коллеги доброго дня,  
у меня есть некое лог поле с динамическим набором значений, например:  
`node_num_1:cpu_use=1:mem=376kb node_num_2:cpu_use=1:mem=3876kb`  
регулярку которая вытаскивает все вхождения "node\_num\_[n]" в этом логе я написал, и споткнулся на том как мне вытащить в итоговое поле все вхождения node\_num, а не только первое.

количество нод в зависимости от ситуации может быть разное.

я так понимаю это нужно делать ruby скриптом, или я неправильно понимаю и можно обойтись grok?

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [November 28, 2018, 2:46pm UTC](https://discuss.elastic.co/t/grok/158440/2 "2018-11-28T14:46:59Z")

</div>

> [@orsa](#):
>
> я так понимаю это нужно делать ruby скриптом, или я неправильно понимаю и можно обойтись grok?

Я не думаю, что grok может создать массив. Так что, наверное, без ruby скрипта тут не обойтись если `n` не ограничено.

---

<div class="post-metadata">

**Author:** ![orsa](https://avatars.discourse-cdn.com/v4/letter/o/5daacb/32.png) [@orsa](https://discuss.elastic.co/u/orsa)\
**Post date:** [December 9, 2018, 2:07am UTC](https://discuss.elastic.co/t/grok/158440/3 "2018-12-09T02:07:26Z")

</div>

Игорь спасибо,  
я так и поступил,  
ruby {  
code =\> "event.set('fiels\_dest', event.get('field\_source').downcase.scan(/reg\_exp/))"  
}

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [January 6, 2019, 2:07am UTC](https://discuss.elastic.co/t/grok/158440/4 "2019-01-06T02:07:29Z")

</div>

Closed on January 6, 2019, 2:07am UTC

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.