我有一个包含以下数据的字段

"REQUEST-941-APPLICATION-ATTACK-XSS, REQUEST-941-APPLICATION-ATTACK-XSS, REQUEST-941-APPLICATION-ATTACK-XSS, REQUEST-942-APPLICATION-ATTACK-SQLI, REQUEST-949-BLOCKING-EVALUATION, RESPONSE-980-CORRELATION

我只想退回第一件商品，即：（请求-941-应用程序-攻击-XSS），但当我使用这个grok过滤器

grok
    {
        match => {"attack_names" => "(?<attack>^[A-Z1-9-]+)"}
        remove_field => ["attack_names"]
    }

它返回所有匹配项

"REQUEST-941-APPLICATION-ATTACK-XSS, REQUEST-941-APPLICATION-ATTACK-XSS, REQUEST-941-APPLICATION-ATTACK-XSS, REQUEST-942-APPLICATION-ATTACK-SQLI, REQUEST-949-BLOCKING-EVALUATION, RESPONSE-980-CORRELATION

所以，我尝试了这个ruby代码：

ruby 
    {
    code => "
            saveid = event.get('attack_names').split(',')[0]
            event.set('attack',saveid)
            "
    }

但这似乎没有任何作用，并且文件没有添加到数据中。
我做错了什么？