apache日志过滤处理中的管道问题

tclwp

我想从apache日志中实时过滤出攻击数据，比如search?\x08......... , IDA?\xf................
用了下面的这个命令:  tail -f  access.log|egrep  "XXXXXX"|egrep  "YYYYYYY", 就没有过滤结果出来，如果去掉后面的egrep, 则第一次过滤的结果就能马上出来， 我自己模拟了许多符合上述二次过滤的请求，发现只有在非法同时并发数很多时上述两次过滤命令才输出结果，如果并发数很少，则过多久都不会出结果，请大虾指教该怎么解决？