Splunk查询比较两个字段，如果比较匹配，则从第3个字段中选择值

Question

我非常陌生，需要你帮助解决以下问题。

我在splunk实例中上传了两个CSV文件。下面提到的是每个文件及其文件。

1. Apple.csv

一个。 A1 b。 A2 c。 A3

1. Orange.csv

一个。 O1（可能具有与A3的值匹配的值）b。 O2

我的要求如下：

Select set of values of A1,A2,A3 and O2 from Apple.csv and Orange.csv  
where A1=”X” and A2=”Y”  and  A3 = O1  

并在表格中显示值：

A1 A2 A3

X Y 123

LP HJK 222

X Y 999

O1 O2

999开启

123关闭

65432开启

输出

A1 A2 A3 O2

X Y 123打开

X Y 999关闭

非常感谢您的帮助。

Answer 1

你可以这样做

source="apple.csv" OR source="orange.csv"
| eval grouping=coalesce(A3,O1)
| stats first(A1) as A1 first(A2) as A2 first(A3) as A3 first(O2) as O2 by grouping
| fields - grouping

虽然我认为考虑事件的时间戳也可能很重要......