bro_pe_graylog_pipeline.txt

rule "Extract bro_pe log fields"
when
  has_field("application_name") &&
  contains(value: to_string($message.application_name), search: "bro_pe", ignore_case: true)
then
  let m = split("\\|", to_string($message.message));

  set_field("ts", to_double(m[0]));
  set_field("id", m[1]);
  set_field("machine", m[2]);
  set_field("compile_ts", to_double(m[3]));
  set_field("os", m[4]);
  set_field("subsystem", m[5]);
  set_field("is_exe", m[6]);
  set_field("is_64bit", m[7]);
  set_field("uses_aslr", m[8]);
  set_field("uses_dep", m[9]);
  set_field("uses_code_integrity", m[10]);
  set_field("uses_seh", m[11]);
  set_field("has_import_table", m[12]);
  set_field("has_export_table", m[13]);
  set_field("has_cert_table", m[14]);
  set_field("has_debug_data", m[15]);
  set_field("section_names", m[16]);
end