问题

在AWS CloudWatch日志组中，想要查询出包含中文关键字的错误日志，结果，AWS说语法错误。
最开始，使用如下查询，查询可能的错误日志：
查询语句，如下：

{($.log = %ERROR%)  }

具体效果如下：

在这个基础上面，想接下来，查询包含登录字符的日志，查询语句如下：

{($.log = %登录%)  }

结果出现如下错误：

原因

AWS CloudWatch日志组，查询中文关键字，得把中文关键字转化成16进制才能查询。

解决

将需要查询的中文关键字登录转化为以\x为间隔的16进制进行查询。具体参考如下：
https://gchq.github.io/CyberChef/#recipe=To_Hex(‘%5C%5Cx’,0)&input=55m75b2V&oenc=65001
如下图：

然后，把转化后的字符串，拿到日志组中查询即可，语句如下：

{($.log = % ERROR%) && ($.log = %\xe7\x99\xbb\xe5\xbd\x95%)}

效果如下图：

这样包含“登录”两个中文关键字的错误日志就过滤出来了。

参考

• 指标筛选条件、订阅筛选条件、筛选日志事件和 Live Tail 的筛选条件模式语法
• CyberChef