如何高效将Sophos UTM防火墙日志转换为PowerShell哈希表以实现统计分析

绝对有比逐字符遍历高效得多的方法！这类键值对格式的日志，用正则表达式或者PowerShell的内置转换工具就能轻松转成哈希表，没必要手动啃字符串。下面给你几个实用的思路和代码示例：

方法1：正则表达式匹配键值对（最灵活可靠） #

Sophos UTM的日志条目里，每个字段都是key="value"的格式，我们可以用正则一次性提取所有键值对，再塞进哈希表。这种方法能应对大多数边缘情况，比如值里包含空格（像name="Packet dropped"）。

代码示例： #

# 单条日志解析示例
$logLine = '2021:09:08-00:02:45 fwtest ulogd[4040]: id="2021" severity="info" sys="SecureNet" sub="packetfilter" name="Packet dropped" action="drop" fwrule="60019" initf="eth2" srcmac="01:23:45:67:89:ab" dstmac="ba:98:76:54:32:10" srcip="10.0.0.1" dstip="10.0.1.1" proto="17" length="96" tos="0x00" prec="0x00" ttl="45" srcport="1234" dstport="4321"'

# 正则模式：捕获key（字母数字）和对应的value（直到下一个"为止）
$regexPattern = '(?<key>\w+?)=&quot;(?<value>[^&quot;]+?)&quot;'
$matches = [regex]::Matches($logLine, $regexPattern)

# 构建哈希表
$logEntry = @{}
foreach ($match in $matches) {
    $logEntry[$match.Groups['key'].Value] = $match.Groups['value'].Value
}

# 查看结果，现在可以直接通过键访问值，比如 $logEntry.fwrule
$logEntry

方法2：预处理后用ConvertFrom-StringData（更简洁） #

PowerShell的ConvertFrom-StringData cmdlet可以直接把key=value格式的字符串转成哈希表，我们只需要把日志行转换成它能识别的格式就行：

代码示例： #

$logLine = '2021:09:08-00:02:45 fwtest ulogd[4040]: id="2021" severity="info" sys="SecureNet" sub="packetfilter" name="Packet dropped" action="drop" fwrule="60019" initf="eth2" srcmac="01:23:45:67:89:ab" dstmac="ba:98:76:54:32:10" srcip="10.0.0.1" dstip="10.0.1.1" proto="17" length="96" tos="0x00" prec="0x00" ttl="45" srcport="1234" dstport="4321"'

# 1. 去掉日志开头的时间和进程信息（直到第一个冒号加空格）
# 2. 把 key="value" 替换成 key=value
# 3. 把空格分隔改成分号分隔（符合ConvertFrom-StringData的要求）
$formattedString = $logLine -replace '^.*?: ', '' `
                           -replace '(\w+?)="([^"]+?)"', '$1=$2' `
                           -replace '\s+', ';'

# 转换成哈希表
$logEntry = ConvertFrom-StringData -StringData $formattedString

$logEntry

批量处理日志并统计规则次数 #

如果要处理整个日志文件，统计特定规则的匹配次数，把上面的逻辑套进批量处理里就行：

$logFilePath = "C:\Logs\sophos_utm_fw.log"
$targetRuleId = "60019"
$ruleMatchCount = 0

# 逐行读取日志并解析
Get-Content $logFilePath | ForEach-Object {
    $matches = [regex]::Matches($_, '(?<key>\w+?)=&quot;(?<value>[^&quot;]+?)&quot;')
    $logEntry = @{}
    foreach ($match in $matches) {
        $logEntry[$match.Groups['key'].Value] = $match.Groups['value'].Value
    }
    # 检查当前条目是否匹配目标规则
    if ($logEntry['fwrule'] -eq $targetRuleId) {
        $ruleMatchCount++
    }
}

Write-Host "防火墙规则 $targetRuleId 共匹配 $ruleMatchCount 次"

注意事项 #

• 如果你遇到值里包含"的极端情况（Sophos日志一般不会出现），可以调整正则模式来处理转义，但上面的正则已经能覆盖绝大多数常规场景。
• 正则方法的性能比逐字符遍历好很多，处理大日志文件时差距会更明显。

内容的提问来源于stack exchange，提问作者ndegel