I only want that the 2 errors: 1. Authentication error : 2. runtime error: also get added to the list of errors, the way of identifying them would be after error there would be a ":"(colon) present directly after the word like this - error: or after a space like - error : So can't we modify the regex or the query in a way so as to achieve this? ... View more

When i run this query: index="css-dev" (source != "*qa*" AND source = "*pinxtgateway*") (error=* OR error) | rex "(?<custom_error>(\w*\s)?(E|e)rror\s?\:?(\s|\w|\-|\(|\=|\))*)" | eval error_name=COALESCE(error, custom_error) | where LEN(error_name)>1 | stats count AS event_count by error_name it gives me this: error_name                                                                              event_count Error                                                                                                 21478                       Error:                                                                                                22                    Server Error</                                                                              21                 access_denied                                                                             1014         error                                                                                                   4          error":                                                                                                 85                       error]                                                                                                 1425919                               error ] [                                                                                               179                                               error],                                                                                                   85                                                   error]}"                                                                                                170                                             invalid_request                                                                                  22                                     invalid_token                                                                                        4                                                 open error                                                                                             179                                     server_error                                                                                           86                  But I do not want like this.  ... View more

What I want is something like this: error_name                          event_count access_denied                      (count) invalid_request                      (count) invalid_token                           (count) server_error                             (count) unauthorised_client              (count) Authorisation error :               (count) runtime error:                            (count) xyz error                                       (count) In future whenever any new error comes, it should then add that new error to this format with its count error field has 5 values already - access_denied, invalid_request, invalid_token, server_error, unauthorised_client This error field does not include the errors set by developer like - Authorisation error, runtime error, etc. These errors set by developer should also be added to the list and all the errors should be under one column ... View more