для Debian текст тестового поиска немного отличается
zgrep sshd /var/log/auth.log* -h |grep -F 'session opened for user'
Я думаю, вам следует предварительно -обработать все значения полей, попытаться определить формат поля и преобразовать его в регулярное выражение, а затем нормализовать текст перед добавлением разделителей.
FIELD FIELD2x FIELD3xxxx FIELD4xxxxxxxxx FIELD5xxxxxxxx <etc>
FIELD FIELD2x FIELD3xxxx FIELD4xxxxxxxxx FIELD5xxxxxxxx <etc>
FIELD FIELD2x FIELD3xxxx FIELD4xxxxxxxxx FIELD 7xxx <etc>
Формат поля регулярного выражения:
(FIELD[\s\dx]+)
==> Использование sed / awk ... для обновления до нового формата поля ==> Добавление разделителей.