如何在Splunk中找到匹配的段之后获取最近的匹配段

时间:2018-07-26 20:10:04

标签: splunk

假设我使用搜索应用程序搜索“进入应用程序”段。我想要的是找到与“从应用程序退出”匹配的“进入应用程序”最近的线段,并将这两个线段之间的数据作为事件获取。我该怎么办?。

编辑:显然,这是一个交易问题。这是我的尝试:

ns=****|transaction startswith="Entry into xxxx" endswith="Exit from xxxxx" 

但是,这并没有获取任何东西。我在两个日志语句“ Entry into xxxx”和“ exit from xxxxx”中进行了搜索,都找到了这些,但是使用事务时未获取任何内容。

0 个答案:

没有答案