如何在splunk中删除重复的结果

Question

有没有办法在splunk enterprise中删除重复值？

我尝试过使用button.rx_tap .subscribeNext { [weak self] _ in self?.number1.text = "" self?.number2.text = "" self?.number3.text = "" } .addDisposableTo(disposeBag) ，但它只提供了重复的内容。

我只想抓住唯一的结果。

提前致谢。

Answer 1

| dedup _raw

在基本搜索后执行此操作。 这将删除重复的原始事件

Answer 2

如果您有权删除命令，可以通过管道（|）搜索删除命令来删除重复数据。 这应该与重复数据删除相反：

... | eventstats max（_indextime）AS latestIndexTime by source | where_indextime

或者您可以搜索最新结果。  ...... | eval _time =（_ indextime）|统计数据最新（*）按来源