我可以编写一个查询来为我提供带有唯一标识符（Graylog）的日志吗？

Question

我刚开始使用graylog，我遇到了一些问题。 我可以编写一个查询，为我带来唯一标识符的日志吗？

例如，我有 op_id 和 loan_amt 的日志，我希望从所有日志中获取loan_amt的总和。问题出在这里：某些日志可能共享相同的 op_id 而且我的总和不正确，因为会从具有相同 op_id loan_amt >

请帮帮我吗？

Answer 1

如果我理解正确，您需要进一步缩小搜索条件范围，以过滤掉重复的日志条目。

您可以使用GrayLog search query language执行此操作。

尝试查找重复日志彼此区分的字段，然后创建过滤器以从结果中排除一个。

例如：

source:hostname.that.logs.loans_amt AND LoggerName:your.logger.that.logs.loan_amt