Pelo que entendi, você quer combinar duas linhas consecutivas que se originam do mesmo arquivo de entrada. Se esse for o caso, a solução mais fácil seria usar o padrão RegExp2. Na verdade, a SEC opera em modo de várias linhas a qualquer momento sem nenhuma opção de linha de comando especial, e o número de linhas correspondidas por qualquer padrão é definido com a palavra-chave 'ptype'. Aqui está a regra que pode ser útil para você:
type=Single
ptype=RegExp2
pattern=Mail delivery failed: returning message to sender.*\n.*admins@xxx\.com
desc=Problem with mail [email protected]
action=pipe '%s' /usr/bin/mail -s 'ERROR SEND MAIL' [email protected]
Nesta regra, 'RegExp2' significa "uma expressão regular que corresponde a 2 linhas consecutivas". Por padrão, essas linhas devem originar-se do arquivo mesmo , mas a opção da linha de comandos --jointbuf eleva essa restrição. No entanto, em circunstâncias normais, você não desejará usar essa opção, pois coloca eventos de todas as fontes no mesmo buffer de entrada para correspondência de várias linhas, mas a ordem dos eventos não é determinada.
Na regra de exemplo acima, observe também a expressão regular:
Mail delivery failed: returning message to sender.*\n.*admins@xxx\.com
Como por padrão. * não corresponde à nova linha, a expressão também aproveita \ n para corresponder ao caractere de nova linha.
Finalmente, também gostaria de convidar você a postar mais perguntas sobre a SEC para sua lista de discussão ( link ), uma vez que vários usuários experientes o estão seguindo, que podem responder prontamente a perguntas semelhantes.
Atenciosamente, risto