Hi guys,<br /><br />I have done parser for the authentication logs of HPUX. Here is the situation:<br /><br />A)Sep 22 13:14:24 serverone sshd[12934]: Accepted keyboard-interactive/pam for username from x.x.x.x port 1691 ssh2<br />B)Sep  2 13:14:24 serverone sshd[12934]: Accepted keyboard-interactive/pam for username from x.x.x.x port 1691 ssh2<br /><br />The parser i&#39;ve made parses successfully A but not B. The problem is extra whitespace when the date is one digit. I am testing parsing with pdbtool of syslog-ng.<br /><br />The outcome of parsing of A is:<br />PROGRAM=ssh<br />.classifier.class=legitimate<br />.classifier.rule_id=ssh-succeed<br />SucceedLogin_MONTH=Sep<br />SucceedLogin_DATE=22<br />SucceedLogin_TIME=13:14:24<br />SucceedLogin_SERVER=serverone<br />SucceedLogin_SERVICE.ID=sshd[12934]:<br />SucceedLogin_USER_NAME=username<br />SucceedLogin_DESTINATION=x.x.x.x<br />SucceedLogin_SOURCE.PORT=1691<br /><br />The outcome of parsing if B is:<br />Matching part:<br />Sep  2 13:14:24 serverone<br />Values:<br />MESSAGE=Sep  2 13:14:24 serverone sshd[12934]: Accepted keyboard-interactive/pam for username from x.x.x.x port 1691 ssh2<br />PROGRAM=ssh<br />.classifier.class=unknown<br /><br />Here is the parser from xml file:<br /><br />&lt;patterns&gt; &lt;pattern&gt;@ESTRING:SucceedLogin_MONTH: @@ESTRING:SucceedLogin_DATE: @@ESTRING:SucceedLogin_TIME: @@ESTRING:SucceedLogin_SERVER: @@ESTRING:SucceedLogin_SERVICE.ID: @Accepted keyboard-interactive/pam for @ESTRING:SucceedLogin_USER_NAME: @from @ESTRING:SucceedLogin_DESTINATION: @port @ESTRING:SucceedLogin_SOURCE.PORT: @ssh2&lt;/pattern&gt; &lt;/patterns&gt;<br /><br />and here is the command pdbtool:<br /><br />/opt/syslog-ng/bin/pdbtool match -D -c -p login.parser.new.xml -P &quot;ssh&quot; -M &quot;Sep 22 13:14:24 serverone sshd[12934]: Accepted keyboard-interactive/pam for username from x.x.x.x port 1691 ssh2&quot;<br /><br />Please, advice me how to proceed. Thank you.<br /><br />Kosta