代码之家  ›  专栏  ›  技术社区  ›  J.A.

如何在splunk中附加两个查询?

  •  1
  • J.A.  · 技术社区  · 7 年前

    我有以下两个问题:

    host="abc*" sourcetype="xyz" Request="some.jsp" | stats count as "TotalCount" by Request

    这将给出请求总数

    host="abc*" sourcetype="xyz" Request="some.jsp" | where TimeTaken < 6000 | stats count as "ReqLT6Sec" by Request

    这将给出响应时间少于6秒的请求数。

    我的要求是通过运行单个查询来获得这两个结果。我尝试附加以下查询:

    host="abc*" sourcetype="xyz" Request="some.jsp" | stats count as "TotalCount" by Request | append [search host="abc*" sourcetype="xyz" Request="some.jsp" | where TimeTaken < 6000 | stats count as "ReqLT6Sec" by Request]

    这将适用于上述简单的请求,如单个jsp,但如果我对请求使用通配符,并且数据量很大,“ReqLT6Sec”的计数与通过运行单个查询运行获得的结果不匹配。如果您能以更简单的方式提供帮助,我们将不胜感激。

    谢谢

    1 回复  |  直到 7 年前
        1
  •  1
  •   RichG    7 年前

    您可以像这样合并这两个搜索。

    host="abc*" sourcetype="xyz" Request="some.jsp"
    | stats count as "TotalCount" count(eval(TimeTaken < 6000)) as ReqLT6Sec by Request