Splunk – 顶部命令

Splunk – 顶部命令


很多时候,我们对查找字段中可用的最常见值感兴趣。Splunk 中top命令可帮助我们实现这一目标。它还有助于找到值在事件中出现的频率的计数和百分比。

字段的最高值

以最简单的形式,我们只获得计数和此类计数相对于事件总数的百分比。在下面的示例中,我们找到了 8 个最高的 productid 值。

前1名

字段的最高值

接下来,我们还可以包含另一个字段作为此 top 命令的 by 子句的一部分,以显示每组 field2 的 field1 的结果。在下面的搜索中,我们找到了每个文件名的前 3 个 productid。请注意文件名如何重复 3 次,显示该文件的不同 productid。

前2名

显示选项

我们还可以通过 Top 命令使用 Splunk 中可用的其他选项来决定显示特定列。在下面的命令中,我们禁用显示百分比选项并仅按文件名显示顶部产品 ID。

前三名

觉得文章有用?

点个广告表达一下你的爱意吧 !😁