如何从Splunk中的事件访问值

Question

我想访问splunk搜索之后即将发生的事件的值。

事件中的数据以以下格式显示

18/06/28 14:12:07 250  219561  711914   72864    0  784778 - 18-06-28 14:08:43

这次我想每小时获取所有数据14:12:07

请提出我们如何在Splunk中做到这一点

Answer 1

如果我正确理解了您的问题，那么您正在寻找的查询如下：

listOfDFs %>% 
    set_names(points$EVENT_ID_CNTY) %>% 
    bind_rows(.id = 'EVENT_ID_CNTY') %>% 
    left_join(points)

此查询还显示了一个事件计数，但是您可以根据需要对其进行汇总，以及优化隐式* | timechart span=1h count 命令（即search）的过滤器