问拼接查询以查找大于

EN

这个查询有一些地方是错误的。

• 正则表达式查找由冒号分隔的3组数字。这与你的例子不符。试试TOTAL NUMBER OF RECORDS IS:(?<field>\d+)。您甚至可以在查询中使用:(?<field>\d+).
• The字段名称，其中不应包含空格。尝试像TotalNumberOfRecords.
• Field名称不能包含冒号这样的东西。这可能是错误消息的来源。

尝试此查询：sourcetype=mylogs | rex ":\d+(?<TotalNumberOfRecords>\d+)" | where TotalNumberOfRecords>=25

下面是一个符合您需求的SPL示例：

| makeresults 
| eval _raw="TOTAL NUMBER OF RECORDS IS:10"
| rex field=_raw "TOTAL NUMBER OF RECORDS IS:(?<record_num>.\d+)" 
| where record_num > 0

逐行解释：

1. 第1-2行:创建此测试的伪事件。
2. 第3行:从_raw提取记录数的值并将其存储在record_num字段中。
3. 第4行:用于筛选结果的where子句。<代码>H212<代码>G213