우리는 항상 특정 검색을 수행하는 방법을 찾고 있으며 도구의 모든 가능성을 알지 못하면 복잡해 보입니다.

그래서 여기에서 우리는 그들 중 일부를 탐구할 것입니다!

통계 기능

첫 번째

[search] | stats first() by [parameter]

first() 명령은 매개변수의 각 값에 대해 찾은 모든 첫 번째 로그를 검색합니다.
따라서 "정렬 시간 asc"를 사용하면 매개변수에 연결된 가장 오래된 로그를 찾을 수 있습니다. 알파벳순으로 정렬하면 목록의 첫 번째 요소를 검색합니다.

예

index=info | stats first() by id

마지막

[search] | stats last() by [parameter]

처음과 같지만 목록의 마지막 요소를 가져옵니다.

예

index=info | stats first() by id

가장 이른

[search] | stats earliest() by [parameter]

first 및 last와 비슷하지만 항상 가장 빠른 로그를 사용합니다.

예

index=info | stats earliest() by id

최신

[search] | stats latest() by [parameter]

가장 초기와 같지만 최신 로그를 가져옵니다.

예

index=info | stats latest() by id

Splunk Stats function documentation

이름 바꾸기

많은 순간에 변수의 이름을 바꾸는 것이 정말 흥미로울 수 있습니다.

완벽한 예는 "| stats first() by id"다음입니다. 함수가 반환하는 매개변수의 이름을 확인하면 id를 제외하고 모두 "first(xxx)"처럼 보입니다. 그러나 "first(xxx)"를 유지하는 것은 다른 치료를 하는 데 도움이 되지 않습니다. 따라서 변수 이름을 바꿔야 합니다.

[search] | rename [variable to rename] AS [new name]

예

index=info | rename id AS id_element

Splunk documentation

중복 제거

지정한 필드에 대해 동일한 값 조합이 포함된 로그를 제거합니다.

[search] | dedup [list of fields]

예

index=info | dedup id name

Splunk documentation

널 채우기

null 값을 매개변수에 지정된 값으로 바꿉니다.

[search] | fillnull value=[new value] [field name]

예

index=info | fillnull value=empty error_code

Splunk documentation




그것이 당신을 도울 수 있기를 바랍니다!