如何构造splunk查询以生成字段为null或非null的事件计数？
Splunk是一款用于实时监控、搜索、分析和可视化大规模机器生成的数据的平台。它提供了强大的查询语言和功能，可以帮助用户从海量数据中提取有用的信息。
要构造Splunk查询以生成字段为null或非null的事件计数，可以使用以下语法：
- 查询字段为null的事件计数：
index=<索引名称> <字段名称>="null" | stats count这个查询将返回指定索引中，指定字段值为null的事件数量。
- 查询字段为非null的事件计数：
index=<索引名称> NOT <字段名称>="null" | stats count这个查询将返回指定索引中，指定字段值不为null的事件数量。
需要注意的是，上述查询中的 <索引名称> 和 <字段名称> 需要根据实际情况进行替换。
Splunk还提供了丰富的功能和工具，用于数据可视化、报表生成、警报设置等。以下是一些相关的腾讯云产品和产品介绍链接地址，可以帮助用户更好地使用Splunk：
- 腾讯云日志服务（CLS）：提供高可用、高并发、安全可靠的日志采集、存储、检索和分析服务，可与Splunk进行集成，实现更强大的日志分析能力。
- 腾讯云云监控（Cloud Monitor）：提供全方位的云资源监控和告警服务，可与Splunk结合使用，实现对云资源的实时监控和故障排查。
- 腾讯云弹性MapReduce（EMR）：提供大数据处理和分析的完全托管服务，支持使用Splunk进行数据分析和可视化。
请注意，以上提到的产品仅作为示例，实际使用时需要根据具体需求和场景选择适合的产品和服务。
相关·内容
我想在splunk中使用一个查询，提取一个字段列表，然后使用这些结果字段进一步过滤我随后的splunk查询。我该怎么做呢？
浏览 27提问于2013-03-02得票数 4
我希望从运行特定搜索查询结果的一组事件中打印特定字段的值。以下是我的查询：
index=abc "all events that contain this string" sourcetype=prd
现在，它返回包含一个名为traceId的字段的某些事件。我想要的是从结果中提取唯一的traceId并打印出来。下面是我目前使用的查询，但是没有用：
index=abc "all events that contain this string" sourcetype=prd | rex field=_raw "traceId: (?<traceId&g
浏览 2提问于2018-10-11得票数 0
当我在splunk search head中键入此搜索查询时：
index=main sourcetype=mySrcType | top fieldA fieldB
Splunk会自动将count列添加到结果表中。现在，这个数是多少？它是每个字段计数的简单和吗？
浏览 10提问于2017-07-29得票数 0
回答已采纳
这里的目的是使用Splunk
transaction startswith
与指定一对字段和自由表单搜索字符串的查询一起使用。查询的正确结构/顺序是什么？
首先:以下查询返回几条记录：
index=dev sourcetype="alstest-tuning--1-0-50--*" Error
现在我们想查看每个结果之后的一些记录。以下是几次尝试：
transaction startswith("index=dev sourcetype=\"alstest-tuning--1-0-50--*\" Error") maxevents=20
和
浏览 3提问于2017-01-27得票数 2
我有一个地图功能 function (doc) {
for(var n =0; n<doc.Observations.length; n++){
emit(doc.Scenario, doc.Observations[n].Label);
}
} 上面的代码返回以下内容： {"key":"Splunk","value":"Organized"},
{"key":"Splunk","value":"Organized"},
{&
浏览 12提问于2019-06-26得票数 1
我是Splunk的新手，我正在编写一个Splunk查询，该查询从仪表板上的下拉选项中获取一个键，然后我想提取与csv文件中的键相关联的不同行(特别是域)，然后在搜索中使用它来按域过滤它。
我现在写的查询是：
basequery
| lookup tenant.csv key as tenant_key output domain as Domain
| search tenant_key = $selected_client$
| stats count
我只想显示与下拉列表提供的键相关联的按域过滤的计数。我不太确定哪里出了问题，也不知道该怎么做。
浏览 12提问于2019-08-13得票数 0
我想对csv文件中的所有值运行splunk查询，并将值替换为csv文件中的字段。我已经将该文件作为输入查找表导入splunk，并能够使用inputlookup查询查看字段，但我希望使用所有子查询运行该文件，其中我将获取每小时、每天、每周和每个月的最大计数
输入文件是ids.csv，它大约有800行，只有一列，如下所示：
1234,
2345
2346
4567
...
使用以下方法的查询：
| inputlookup ids.csv | fields ids as id | [search index="abc" id "search string here"
浏览 0提问于2019-01-25得票数 1
我知道下面的查询是无效的，但我只是把它作为我想要实现的一个例子。
基本上，我要做的是获取所有行的COUNT() &然后在一个查询中获得一个具有条件子句的行的COUNT()。
比如..。
SELECT
COUNT(*) AS full_amount,
COUNT(address IF NOT NULL),
COUNT(name IF NOT NULL)
FROM
table;
现在，我试图在上面找到的是表的全部计数&我还试图找出表中'address‘& 'name’字段不为空的行数。不是两者都是空的，而是单独的。
为了进一步
浏览 2提问于2010-10-16得票数 3
回答已采纳
关于Splunk Cloud中的PagerDuty集成，我遇到了一些不同的问题。
PagerDuty网站上的文档要么是过时的，不适用于Splunk Cloud，要么是我的Splunk Cloud帐户的配置方式有问题(可能是权限问题)：。我在Splunk Cloud中没有看到Alert Actions页面，但我有一个搜索、报告和警报页面。
我已经使用alert_logevent应用程序在Splunk中配置了PD警报，但还不清楚我是否应该使用其他应用程序。当有搜索结果时，这些警报确实会触发，但我看到了另一个问题(如下所示)。alert_webhook应用程序类型似乎是合适的，但我无法让它正常工作。
浏览 1提问于2019-01-07得票数 1
1回答
我在Splunk索引中有事件日志。我想得到上周基于statusCode的成功请求和( b)失败请求的数量。但是，我想显示每一天的数量。
根据我的理解，我可以使用以下内容来执行昨天的查询：
index="my_index"
sourcetype="*"
_raw="*execTime*"
earliest=-1d@d
latest=now
| fields _time requestUrl statusCode
| stats
count(eval(statusCode<200 OR statusCode>299)) as
浏览 2提问于2022-05-26得票数 1
回答已采纳
我有一些splunk警报，如果没有结果就会触发。但是，我们的splunk搜索偶尔会关闭一分钟，导致所有这些警报都会触发。
我不是splunk服务器的负责人，所以我不能做任何事情来提高搜索的能力。但是，我可以修改警报的查询。我不是在寻找如何保持搜索的建议。这不是我能控制的。
有没有办法可以修改搜索以检查搜索是否正常工作？例如，也许有一种方法总是从搜索中返回至少1个结果，然后我可以修改我的警报，使其在只有1个结果而不是0的时候触发。
因此，伪查询应该是这样的: query，如果搜索正在工作，则始终只返回1个结果|将这些结果附加到期望>0结果的原始splunk查询
浏览 14提问于2020-02-28得票数 0
我有一个名为"impact_time“的字段，其中有人类可读的日期。现在，我想查询一个范围为impact_time的splunk。唯一的问题是，我所拥有的最早和最晚的时间都是纪元格式。如何根据我传递的纪元时间范围进行splunk查询？
浏览 0提问于2016-09-29得票数 0
当我使用此搜索运算符时，search "response.header.status"!=200 splunk将只包含存在response.header.status路径的结果。
因此，此处的搜索参数隐式地强制要求该属性存在，而不管其值如何。
是否有一种搜索变体，允许我根据路径的值排除结果，但如果路径不存在，仍然包括结果吗？
浏览 2提问于2020-08-12得票数 0
回答已采纳
我对Splunk查询并不熟悉，我无法从同一事件中提取多个值。我正在处理类似这样的事件：
...
starting count: 12345678
ending count: 12347890
total time: ...
....
我想提取与“开始计数”和“结束计数”相关的值，并创建一个比较这两个值的图表。到目前为止，我能够使用这个查询提取一组值。
rex field=_raw "starting count: (?<StartCount>\d+)"
但是如何提取两个不同的值并进行比较呢？提前谢谢。
浏览 11提问于2022-05-02得票数 0
回答已采纳
我的日志中有以下几行：
...useremail=abc@fdsf.com id=1234 ....
...useremail=pqr@fdsf.com id=4565 ....
...useremail=xyz@fdsf.com id=5773 ....
counterDisplay 捕获每个用户从-1d@d到@d期间的所有用户，从索引开始搜索到-1d@d &如果不存在，则通过比较实际id字段来查看用户id是否已经存在，然后将其添加到此最终计数中。
我能在Splunk上实现这一点吗？
谢谢!
浏览 2提问于2011-09-24得票数 3
回答已采纳
我正在使用一个查询来查询splunk，这个查询是为了搜索splunk数据库。
现在，这个查询给了我很多字段作为结果。但我只希望输出中选定的字段。怎么做？
我正在使用‘自定义可视化’应用程序在splunk。我希望我的splunk查询在自定义可视化中使用，以便生成流程图。如何实现这一目标？
浏览 2提问于2015-09-03得票数 0
回答已采纳
"Env=abc"是每个Splunk事件都包含多个no的字段/值对。时间的流逝。如何在时刻表中只取其中一个以显示？
例如：
Env=abc Env=abc Env=abc Env=abc Env=abc Env=abc Env=abc Env=abc
我希望"abc“在我的图形中只显示一次。然而，我看到我的图形显示如下：
abc abc abc abc abc etc。
浏览 0提问于2019-07-29得票数 1
查询正在删除Splunk DB数据：
我的要求：
我根据时间戳对splunk进行了查询，"from date“和"to date”。
在获得时间戳之间所有事件结果的列表后，我想从Splunk数据库中删除这些事件列表。
每个查询的结果数据都将存储在目标数据库中，因此我想从查询Splunk DB中删除每个查询的结果数据，这样我的下一次查询就不会以给出重复的结果而结束，我还想释放源Splunk DB中的存储空间。
因此，我想要一个有效的解决方案，如何从查询Splunk DB中完全删除查询结果数据？
谢谢和问候，达兰德拉·塞蒂
浏览 3提问于2017-03-07得票数 0
我在斯普伦克试图减少原木的产量。当我试图使用下面的查询来减少日志时，我得到了大量的日志条目
Spunk query: (source!="/var/log/kubernetes/audit/kube-apiserver-audit.log" cluster_name::dkp-test index="tst-dkp") null sourcetype="fluentd:monitor-agent"
我试图通过使用emit_interval 300和cache_ttl 3600来减少日志生成，但是它没有工作。
有谁能建议我如何减少splunk连接器
浏览 2提问于2022-01-31得票数 0
1回答
我在Splunk中执行了一个查询，如下所示：
source="/log/ABCDE/cABCDEFGH/ABCDE.log" doSomeTasks
现在，我想通过Id (Id是一个提取的字段)来计算日志文件中的条目。但我只想对每个Id计数一次，而不是每次执行doSomeTasks时都计数。我怎么能这样做呢？
浏览 6提问于2020-11-13得票数 0
回答已采纳
3回答
我知道Splunk不需要MySQL数据库提供的很多功能，要对大数据进行索引和执行搜索，使用关系数据库可能不是一个好的选择。
Splunk是使用Lucene作为搜索引擎，还是制作了磁盘上的数据格式？
如果我问这个问题的方式有什么问题，我很抱歉。这是我关于堆栈溢出的第一个问题。
浏览 2提问于2014-01-07得票数 5
回答已采纳
2回答
我们正在考虑将Splunk作为我们的数据存储，转而关注由S3支持的亚马逊网络服务数据湖。
将数据从Splunk迁移到S3的过程是什么？我读过很多关于将数据从Splunk归档到S3的文档，但不确定这是将数据归档为可用的格式，还是需要将其以某种归档格式恢复到splunk本身？
浏览 5提问于2019-11-08得票数 1
1回答
提前谢谢你。
我使用温斯顿记录器打印JSON格式的应用程序日志。
但不知何故，它以Javascript对象格式打印，没有双引号，如下所示
{
message: 'APP listening on 4000',
level: 'info',
env: 'local',
timestamp: '2022-03-10T04:58:35.303Z'
}
在Splunk日志中，它不认为它是JSON，因为缺少了键的双引号。
对于这个JS对象，我可以使用Splunk查询将其转换为带有双引号和提取字段的JSON字符串吗？
浏览 2提问于2022-03-10得票数 2
我想在查询后在Splunk中打印事件的行数
例如：index=* host=* source=*application*这个查询给出了所有的事件，但我想打印/获取每个事件的行数。我尝试使用len() of Splunk query，但它对我不起作用
浏览 10提问于2018-07-30得票数 0
所以我尝试通过python splunk查询导出到elasticsearch。我正在使用python中的json.dump()特性，它的工作和转换完全像SPLUNK Web的convert特性。我的问题是，它给了我一个名为_RAW的字段，其中包含管道'|‘信息，因此弹性搜索不会看到单个字段，而是像这样将所有字段组合在一起： Data| nameId="123123" | exampleID='1234123' | fieldName="Example" ....etc 我希望能够有一个"data“字段或一个"fieldN
浏览 11提问于2019-10-11得票数 0
1回答
我有一个简单的控制台应用程序与以下代码，登录到Splunk是不起作用的。我在Splunk仪表板中看不到任何日志。我已经屏蔽了url和token。
var url = "https://http-inputs-*****.splunkcloud.com/services/collector";
var log = new LoggerConfiguration()
.WriteTo.EventCollector(url, "49A89C45-****-47D2-8A4C-EF89DA*****", index:"app_crius_services
浏览 20提问于2021-05-19得票数 0
对于Splunk，我尝试了下面这样的内容，以及中提供的内容，但是它主要是与提取数字有关，我想要的是检查值大于某个xyz数。如果有人能帮我，那就太好了。
我不太擅长regex，所以也尝试了一些类似于的东西。但这不管用。
index=1234 application_instance_name=service-name "[FooBarService#write] <--- HTTP/1.1 200 (2300ms)"查询:我知道上面的内容是精确匹配的，但是我使用了regex，这两个链接都给出了。
日志：[FooBarService#write] <--- HTTP/1
浏览 1提问于2022-02-08得票数 -2
回答已采纳
我想访问splunk搜索之后的事件的值。
数据在活动中的格式如下
18/06/28 14:12:07 250 219561 711914 72864 0 784778 - 18-06-28 14:08:43
我希望在14:12:07的基础上每小时获得所有数据
请建议我们如何在Splunk中做到这一点
浏览 0提问于2018-06-29得票数 0
我们正在考虑将日志分析解决方案从ElasticSearch/Kibana移到Splunk。
我们目前在ElasticSearch中使用"document“在索引时去复制记录：
我们使用每个日志记录的内容哈希来生成id。
在Splunk中，我找到了内部字段"_cd“，它对于Splunk索引中的每个记录都是唯一的：
但是，使用来接收记录，我无法找到任何方法将这个"_cd“字段嵌入到请求：中
关于如何在扣篮中实现这一点，有什么建议吗？
浏览 11提问于2020-12-02得票数 0
回答已采纳
1回答
我已经创建了一个自定义类，它将我的日志推送到splunk，但不知何故它不起作用。这是类。
class Splunk(logging.StreamHandler):
def __init__(self, url, token):
super().__init__()
self.url = url
self.headers = {f'Authorization': f'Splunk {token}'}
self.propagate = False
def emit(self, record):
mydata = di
浏览 0提问于2020-09-01得票数 0
2回答
如何从搜索返回的splunk事件列表中获得特定splunk事件的url？
如果这是不可能的，而且我需要创建一个只返回该事件的搜索，那么对于我可以在查询中使用的每个事件，是否有一些唯一的id呢？
浏览 2提问于2017-11-07得票数 8
回答已采纳
出于某种原因，splunk正在合并多个日志。
由于统计原因，每次用户登录时，我都会登录。我期望在splunk中，每条日志将得到一行，如下所示：
TIMESTAMP user of type=1 has logged in
----------------------------
TIMESTAMP user of type=2 has logged in
----------------------------
TIMESTAMP user of type=3 has logged in
等等，其中-------------表示日志之间的分隔符。
但是，我将多个日志视为一个日志，例如：
TIM
浏览 6提问于2014-04-17得票数 3
2回答
目前，我们正在通过Kafka broker收集并发送应用程序日志到Splunk进行日常监控，它大约在80 is /天左右。我们正在支付大量的钱，以保持这些原木进入Splunk (90天保留期)。
我们希望减少存储在splunk中的日志，这样我们的预算在财政上是可行的。此外，是否最好在另一个工具(如S3 )中创建一个单独的数据库，然后使用splunk查询该数据库以避免将日志直接存储到Splunk？
浏览 11提问于2022-07-28得票数 -1
1回答
我的闪存日志中有"YYYY-MM-DD HH:MM:SS.QQ ERROR“。现在我想在我的splunk日志中搜索类似的日期模式以及类似于“2021-Apr-0823:08:23.498 ERROR”的状态，并在错误标签出现在日期旁边时创建警报。这些日期是可更改的，并在运行时生成。 谁能建议我如何在splunk查询中检查日期时间格式和状态。
浏览 16提问于2021-04-09得票数 0
回答已采纳
1回答
我已经在AWS EC2实例上安装了Jenkins，它运行得很好。我已经在同一个EC2实例上安装了Splunk。
My Jenkins URL:-
http://10.x.x.x:8080
And my Splunk URL:-
http://10.x.x.x:8000
我也在Jenkins上安装了Splunk插件，并试图用Jenkins配置Splunk，这样来自Jenkins的数据就可以作为Splunk的源。我试了很多次，但不起作用。在Splunk上，我创建了一个'HTTP事件收集器‘令牌，并试图使用此令牌在Jenkins上进行配置。
在Jenkins ->管理Jenkins
浏览 0提问于2018-06-24得票数 1
4回答
我试图在查询中获得null字段的平均值。现在我做的是：
select COUNT(name) as name
,COUNT(surname) as surname
,COUNT(email) as email from table where id = 1
然后我手工地把所有的都和起来，然后计算出平均值，用总字段除法。我相信有一种更自然、更优雅的方法来做到这一点，但我没有看到
谢谢!
编辑示例
查询结果：
Name Surname Email
-----------------------------
John Lennon NULL
Ma
浏览 1提问于2011-06-09得票数 1
回答已采纳
如何使用驻留在远程unix服务器上的日志文件配置splunk？
通常，我登录putty到一个linux服务器，从那里我ssh进入另一个公司服务器，我在目录中导航并使用grep过滤器主要以cat、zcat等的形式执行操作。例如：
登录到example_server与腻子ssh到ssh_servercd到req dir执行cat等，<code>G 211</code>
ssh_server不允许直接从putty登录，我必须先登录到example_server，然后登录到ssh_server。
如何配置这些日志文件以供splunk使用以搜索字符串，类似于如何使用grep。我已
浏览 1提问于2011-12-08得票数 1
我需要在Splunk中展开多个MV字段。如果一行中的每个字段都有相同的基数，那么这里的答案是有效的。我的dataset中的一个字段有时只有一个值- NULL -在这种情况下，Splunk不会包括整个行。
我怎么才能让Splunk也包含它呢？
浏览 1提问于2017-03-28得票数 0
我正在处理包含许多字段的事件日志。我试图隔离1字段并获取该字段值的计数，并将计数显示在现有表中作为新字段。
这是我的日志：LOG_LEVEL="INFO" MESSAGE="Type_of_Call = Sample Call LOB = F DateTime_Stamp = 2022-10-10T21:10:53.900129 Policy_Number = 12-AB-1234-5 Requester_Id = A1231301 Last_Name = SAMPLE State = IL City = Chicago Zip 12345" APPLICAT
浏览 2提问于2022-10-12得票数 0
回答已采纳
1回答
我正在尝试通过splunk编写一个查询，以查找Linux中用于身份验证的SSH日志。对于实现这一点所需的查询，您有什么想法吗？我是splunk的新手，所以任何信息都会有帮助。
以下是我已经开始的，但无济于事：
sshd“无效用户”不是端口不是“预身份验证]”| iplocation InvalidSSHIP
浏览 3提问于2020-05-28得票数 0
我发现我可以创建一个Splunk查询来显示某个事件类型的结果在结果中出现了多少次。
severity=error | stats count by eventtype
这将创建一个如下所示的表：
eventtype | count
------------------------
myEventType1 | 5
myEventType2 | 12
myEventType3 | 30
到目前一切尚好。但是，我希望查找具有零结果的事件类型。不幸的是，那些计数为0的人不在上面的查询中，所以我不能只按此进行筛选。
如何为未使用的事件类型创建Splunk查询？
浏览 11提问于2017-08-29得票数 0
我正在使用java rest api sdk从Splunk的搜索应用程序中检索事件。我在搜索期间检索了名为splunk_server的字段，并为其设置了值。然后，我尝试将日志消息格式化为key=value对模式。例如：splunk_server=remoteserver。我希望将我为新事件设置的splunk_server值添加到splunk中。但出现的是默认值。
有没有办法设置splunk_server的值，并在每次添加新事件时显示我在Splunk服务器中设置的值？
浏览 2提问于2012-03-27得票数 0
3回答
有以下查询index=app (splunk_server_group=bex OR splunk_server_group=default) sourcetype=rpm-web* host=rpm-web* "CACHE_NAME=RATE_SHOPPER" method = GET | stats count(eval(searchmatch("true))) as Hit, count(eval(searchmatch("found=false"))) as Miss
需要制作两种值的饼图“命中率和漏报率”
可以区分值的字段是Message=[C
浏览 21提问于2022-04-12得票数 0
经过一番挣扎，我终于顺利地将Openshift审计日志文件转发到了Splunk。然而，这导致了大量的事件，所以我应用了一个过滤器来排除"get“和"watch”。我想包括get的秘密。 我的问题是，如何更改筛选器以排除"get“而包含"get secret"？ apiVersion: v1
kind: ConfigMap
metadata:
name: splunk-kubernetes-audit
namespace: splunk-logging
labels:
app: splunk-kubernetes-audit
data
浏览 104提问于2021-07-27得票数 1
我正在使用Splunk java SDK从Splunk服务器搜索模式。我使用的是模式 search index=* env=* (GET OR POST OR PUT OR DELETE) | where isNum(httpStatusCode) 当我在Java SDK中使用这个查询时，Splunk没有发送任何事件。但当我从Splunk web应用程序查询时，它显示了响应。我的Splunk日志包含两种类型的事件。一个事件类型为httpStatusCode字符串，另一个事件类型为httpStatusCode number.Both，如下所示： 类型1 [31/Jan/2019:10:27:4
浏览 49提问于2019-01-31得票数 1
我已经在我的iOS项目中集成了Splunk来监控我的应用崩溃。
我在问，是否有一种方法可以在我们每次通过一个功能时都有统计数据。
例如，我想知道一个方法被调用了多少次。
诚挚的问候
浏览 1提问于2014-11-18得票数 0
Kafka代码在处理数据并移动到dlq (代码正在创建日志)时创建日志。
当生成dlq错误日志时，我必须生成警报，它会向splunk发出警报。
不确定如何配置连接
浏览 18提问于2022-08-04得票数 0
假设我有一个具有已知结束时间的间隔事件，是否有方法在所述间隔事件到期之前触发另一个事件。这样做的目的是，在这一点上，我需要做一个聚合。
或者，有没有一种方法可以进行查询(这不是我们想要的，但我可能不得不求助于它)
(from input in inputStream
select input).AddDelay(input.EndTime - DateTime.UtcNow)
如果我的理解完全错误，请建议一个更好的方法。
浏览 0提问于2012-08-09得票数 1
回答已采纳
是否可以编程地将源类型设置为生成日志的名称空间？我正在使用流畅的插件发送数据到Splunk事件收集器。在其他地方，建议使用${record‘’kubernetes‘将索引名设置为命名空间名称。当我对源类型这样做时，实际的文本只会出现在Splunk中，而不是转换到特定的命名空间名称。
@include systemd.conf
@include kubernetes.conf
<match kubernetes.var.log.containers.fluentd**>
type null
</match>
<match **>
type splu
浏览 0提问于2018-05-04得票数 2
我不熟悉Serilog。我正在检查代码，因为到目前为止，它还没有将其信息写入Splunk。我想我已经弄明白了这个问题，但我希望有人能证实我的假设。
splunkLog.Information($"An account for user '{userName}' was successfully created");
有什么理由要把$放在这样的字符串前面吗？我在文档中所能找到的就是在属性前面使用$来进行序列化。我找不到任何在字符串前面使用它的引用。
提前感谢
浏览 0提问于2021-03-10得票数 1
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频活动推荐
腾讯云开发者
