Question

我是splunk noob试图写一个查询几个小时但到目前为止没有成功。我想计算命令安装的次数＆＃39;被触发，退出代码是＆＃39; 0＆＃39; 0 每个安装命令都会将日志写入一个新文件，格式为＆＃39; install_timestamp＆＃39;所以我正在搜索source =＆＃34; install *＆＃34;

使用2个源文件作为示例

source1:
event1:command=install
... //a couple of other events
event100:exit_code=0

source2:
event1:command=install -f
... //a couple of other events
event100:exit_code=0

在这种情况下，我希望结果为1.当命令为＆＃39; install＆＃39;时，只有1次出现exit_code = 0。（不是-f）令我困惑的是，command和exit_code的信息在不同的事件中，我可以分别获得这两个事件中的每一个，但能够弄清楚如何获得组合结果。

有关如何达到我想要的结果的任何提示？ - 谢谢！

Answer 1

它有点粗糙，但你可以做这样的事情......

（＆＃34; One String＆＃34; NOT＆＃34; Bad String＆＃34;）OR＆＃34; Another String＆＃34; |统计数据来源|其中count＆gt; 1

它基本上会为您提供包含与两个字符串匹配的事件的文件列表。对于你的例子，这将是......

（＆＃34; command = install＆＃34; NOT＆＃34; -f＆＃34;）OR＆＃34; exit_code = 0＆＃34; |统计数据来源|其中count＆gt; 1

Splunk得到2个事件的综合结果

1 个答案: